Unternehmer haften für alle Daten

Multifunktionsgeräte sind Datensammler

Multifunktionsgeräte speichern nicht nur Daten auf ihren Festplatten, sie sind zugleich über das Netzwerk durch Hacker angreifbar, sofern Schutz­mechanismen fehlen. Der Datendiebstahl während des Geräteeinsatzes ist ­allerdings nicht das einzige Risiko der „Alleskönner“.

Handschellen

Geschäftsführer von Unternehmen können persönlich in Haftung genommen werden, wenn Datenrichtlinien grob verletzt wurden.

Insbesondere Unternehmen, die von Haus aus mit vielen sensiblen Dokumenten hantieren, dürften das Thema „Datensicherheit“ auf dem Schirm haben bzw. eine größere Bereitschaft zeigen, sich mit diesem Thema auseinanderzusetzen. Doch ist ihnen auch bewusst, welches Sicherheitsrisiko beispielsweise Multifunktionsgeräte (MFP) darstellen? Eine Umfrage des ARD-Magazins Plusminus unter 200 Rechtsanwälten, Ärzten und Steuerberatern förderte im letzten Jahr ein erschreckendes Ergebnis zutage: Der Umfrage zufolge weiß die Hälfte der Befragten nämlich gar nicht, ob ihr Kopierer Daten speichert. Ein Viertel glaubt, dass in seinem Gerät gar keine Festplatte eingebaut ist. Lediglich ein weiteres Viertel ist sich der Gefahr bewusst, die von Multifunktionsgeräten ausgeht. Tatsächlich sind moderne Multifunktionsgeräte „nichts anderes als vollständige PCs“, erklärt Susanne Heß, Product Marketing Manager bei der Xerox GmbH. Sie verfügen über Festplatten, Schnittstellen jeglicher Art, Betriebssysteme, etc. Sobald ein Multifunktionsgerät Daten erhält und diese für den Druck-, Kopier- oder Scanvorgang oder per Fax weiterverarbeitet, wird es anfällig für Cyber- und Malware-Angriffe.

Schließlich ist der „Alleskönner“ als Teil der IT-Ausrüstung eines Unternehmens genauso wie dessen im Einsatz befindlichen Computer und Notebooks ins Netzwerk eingebunden und „kann daher prinzipiell auch angegriffen werden“, bestätigt Norbert Höpfner, Head of Printing Solutions bei der Samsung Electronics GmbH. Das erfordere allerdings ein hohes Maß an krimineller Energie und sei sehr aufwendig. „Je sicherer also ein Unternehmensnetzwerk geschützt wird, desto sicherer sind auch alle Systeme innerhalb des Netzwerkes“, fügt Frank Breitenbach, Product Marketing Manager der Oki Systems (Deutschland) GmbH, an.

Verschlüsselung der Datenströme


Um dem Datendiebstahl während des Einsatzes von Multifunktionsgeräten entgegenzuwirken, sollten Unternehmen demnach ein paar wichtige Regeln beachten. Der physische Diebstahl von fertigen Ausdrucken am Ausgabefach des MFPs kann etwa durch eine Mitarbeiterauthentifizierung verhindert werden: Alle Arbeitnehmer müssen ihre an die Multifunktionsgeräte gesendeten Druckaufträge noch einmal physisch über ein Lesegerät mit ihrer Mitarbeiterkarte oder einer PIN bestätigen. „Über diese Methode stellt ein Unternehmen sicher, dass keine sensiblen Ausdrucke im Ausgabefach liegen bleiben und ggf. über mehrere Tage nicht abgeholt werden“, erklärt Susanne Heß. Der digitale Diebstahl könne wiederum an verschiedenen Schnittstellen eines Druckvorgangs passieren: beim Senden der Daten vom PC an den MFP, während die Daten temporär auf dem Gerät gespeichert sind, bis zur Ausführung des Druckauftrags und wenn gescannte Daten vom Multifunktionsgerät wieder an andere Nutzer bzw. E-Mail-Adressen verschickt werden. „Hier empfehlen wir, die Daten ausschließlich verschlüsselt zu verschicken“, so Heß.

Hersteller wie Samsung statten ihre Multifunktionssysteme mit integrierten Festplatten beispielsweise von Haus aus mit Festplattenverschlüsselung, Verschlüsselung der Datenströme oder der Eingabemöglichkeit von PINs und Passwörtern aus. Auch die Festplatten der Canon-Systeme sind passwortgeschützt und „lassen sich nicht ohne weiteres auslesen“, verspricht Produktmanager Christoph Losemann, der seinen Kunden generell rät, stets die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu berücksichtigen. Ferner stelle die Imagerunner-Advance-Serie mit „Secure Erase“ ein passendes Werkzeug bereit, damit etwa temporäre Dateien im laufenden Betrieb gelöscht werden. Was auch sinnvoll ist: Falls ein Druckauftrag ans Gerät geschickt, aber aus diversen Gründen nicht ausgeführt wird, sollte der Administrator eine Zeit einstellen können, nach deren Ablauf nicht ausgeführte Aufträge automatisch gelöscht werden. Die Nutzer müssen ihren Auftrag in diesem Fall dann einfach nochmals neu senden.

Dies ist ein Artikel aus unserer Print-Ausgabe 01-02/2016. Bestellen Sie ein kostenfreies Probe-Abo.

Xerox wiederum arbeitet zum Schutz von Multifunktionsdruckern und Daten vor Malware mit Mc­Afee zusammen. Zum Einsatz kommt die Embedded-Control-Software, eine komplexe Filtermethode, die nur genehmigten Programmen den Zugriff erlauben soll. Die Sicherheitslösung vereinfache Prozesse für IT-Administratoren, da die Software direkt in den Con-troller des Multifunktionsgeräts integriert sei. Durch unverzügliche Warnungen können Zeitpunkt und Ursprung von Sicherheitsbedrohungen erfasst und nachverfolgt werden. Dadurch entfalle die Notwendigkeit für IT-Verantwortliche, Malware-Bedrohungen ständig im Auge zu behalten und diese proaktiv zu blockieren.

Remote-Zugriff auf Datenkopierer


Hacker haben es also letztlich nicht leicht, auf sensible Daten von Multifunktionsgeräten zuzugreifen, wenn diese richtig administriert sind. Doch wie schaut es mit den Geräteherstellern bzw. Managed-Print-Service-Providern (MPS) aus? Könnten sie, wenn sie wollten, trotz Sicherheitsmechanismen auf die Daten ihrer Kunden zugreifen? Laut Norbert Höpfner lasse sich diese Frage nicht pauschal beantworten, „denn es hängt zuerst einmal von den Vereinbarungen mit dem Anbieter ab“. Dabei gehe es in erster Linie um Daten zum System, der Nutzung oder der Möglichkeit der Fernwartung. Wird beispielsweise bei knappem Toner automatisch eine Nachbestellung beim Anbieter ausgelöst, könnte er sicherlich Rückschlüsse über das Nutzungsverhalten, Druckvolumen und ähnliches ziehen. „Das hat allerdings nichts mit den persönlichen Daten der Kunden oder Nutzer zu tun“, wiegelt Höpfner ab. „Auf diese Informationen haben wir keinerlei Zugriff, wenn die entsprechenden Sicherheitsprotokolle von den Nutzern aktiviert und eingerichtet sind.“

Außerdem gebe es für den jeweiligen MPS-Anbieter keinerlei Möglichkeit, Daten aktiv abzufragen, „da es sich hierbei um reine Push-Nachrichten handelt“, ergänzt Susanne Heß. Mit diesen „melden“ sich die Multifunktionsgeräte bei den Anbietern, sobald etwas nicht stimmt. Wenn dann bei einer Störung der Anbieter remote auf ein Gerät zugreifen muss, z.B. um einen Fehler zu beheben, sollte dies ausschließlich über eine gesicherte Verbindung geschehen. Außerdem sollte eingestellt werden, dass der Service-Mitarbeiter erst dann remote auf das Gerät zugreifen kann, wenn dieser Zugriff vom Nutzer vor Ort über das Bedienpanel freigegeben wird.

Verantwortung liegt beim Anwender


Neben dem Datendiebstahl während des Geräteeinsatzes – egal ob in physischer Form oder digital durch Hacker – sollten die Nutzer von Multifunktionsgeräten eine weitere, nicht unerhebliche Problematik auf dem Schirm haben: Gebrauchtgeräte. Hierzu gab es im Oktober 2015 einen interessanten Beitrag von ARD Plusminus: Die Fernsehredakteure machten sich im Internet auf die Suche nach gebrauchten Kopierern und stießen auf Tausende Angebote. Bei Ebay erwarben sie letztlich drei gängige Gebrauchtgeräte zwischen 500 und 900 Euro. Als die Kopierer eintrafen, bauten sie deren Festplatten aus und luden sich eine kostenlose Software aus dem World Wide Web herunter, um die Daten auslesen zu können. Und tatsächlich, es funktionierte! Die Redaktion konnte bei allen drei Gebrauchtgeräten sensible Daten der vorherigen Besitzer wiederherstellen. Wie kann das sein? „Hierbei ging es schlicht um Prozessprobleme und auch um Anwendungsfehler der Vorbesitzer“, meint Norbert Höpfner. „Der Bericht suggerierte, dass nahezu jede Kopie auf einem Multifunktionsgerät gespeichert wird – das kommt allerdings nur bei sehr umfangreichen Kopieraufträgen vor und selbst dann sollten die Daten nach Beendigung schnell automatisch gelöscht werden.“

Das Auslesen der Daten hätte zudem verhindert oder zumindest erheblich erschwert werden können, wenn die Festplatten verschlüsselt gewesen wären. Das Gerät einfach nur an den Anbieter zurückzugeben und sich darauf zu verlassen, dass dieser alle Daten komplett löscht, genügt in der Regel nicht. Hierfür bieten moderne multifunktionale Kopiersysteme meist entsprechende Werkzeuge, mit denen alle vorhandenen Daten sicher und endgültig vernichtet werden. „Bei den Systemen, die eine solche Funktion nicht anbieten, muss ein externes Löschen der Festplatte erfolgen“, betont Frank Breitenbach von Oki. „Dies scheint im angesprochenen Fall nicht passiert zu sein.“ Allerdings sind die Nutzer für den Umgang mit den Daten – und damit auch für deren Löschung vom Gerät – selbst verantwortlich. Art und Umfang der Datenspeicherung hängen in der Regel von den internen Richtlinien eines Unternehmens ab. Informationen hierzu können die einzelnen Mitarbeiter meist direkt bei der IT-Abteilung, dem Datenschutzbeauftragten oder auch beim Betriebsrat einholen. Sie müssen sich letztlich auf die Verantwortlichen im Unternehmen verlassen können, schließlich können sie selbst nur selten direkten Einfluss darauf nehmen, welche ihrer Daten auf den Bürodruckern gespeichert werden.

Besonders heikel ist das Thema natürlich für Geheimnisträger wie Polizei, Ärzte oder Steuerberater, wenn ihre vertraulichen Daten in falsche Hände geraten sollten. „Die rechtlichen Folgen von Datenschutzverletzungen gehen aus dem Bundesdatenschutzgesetz (BDSG) hervor“, erklärt Christoph Losemann von Canon. Die Missachtung der Bestimmungen des BDSG könne zu Bußgeldern und Schadensersatzansprüchen in erheblicher Höhe führen. „Das Datenschutzgesetz geht sogar so weit“, ergänzt Norbert Höpfner, „dass mitunter Geschäftsführer von Unternehmen persönlich in die Haftung genommen werden können, wenn Richtlinien grob verletzt wurden.“ Bei schwerwiegenden Verstößen kann laut Losemann in bestimmten Fällen gar eine Freiheitsstrafe von bis zu zwei Jahren verhängt werden.

Da hatte die Rechtsanwaltskanzlei, deren Druckerdaten die Mitarbeiter von ARD Plusminus auf einer der drei untersuchten Festplatten rekonstruieren konnten, wohl nochmals Glück, dass die über 5.000 gefundenen Dokumente nicht in falsche Hände geraten sind. Darunter etwa polizeiliche Zeugenvernehmungen, Strafbefehle, Mahnverfahren und Steuerfahndung – alles streng geheim. Der betroffene Rechtsanwalt wurde natürlich kontaktiert und zeigte sich scheinbar fassungslos, schließlich stellt solch ein Datenfund eine Existenzbedrohung für ihn dar. „Wenn die Expertise zum Schutz von sensiblen Daten im Unternehmen nicht vorhanden ist, sollte unbedingt ein Partner mit dem entsprechenden Fachwissen konsultiert werden“, rät Norbert Höpfner an dieser Stelle. Susanne Heß schließt sich ihm an: „Wir empfehlen eigentlich immer, beim Thema ‚Datensicherheit’ auf Spezialisten zurückzugreifen. Besonders in Geschäftsbereichen mit einem hohen Aufkommen von heiklen Daten und bei großen Unternehmen mit dementsprechend großen MFP-Netzwerken ist die Geschäftsführung immer gut beraten, sich entweder um die entsprechende IT-Expertise im Haus oder extern zu bemühen.“ Doch sicherlich habe hier etwa ein kleiner Handwerksbetrieb einen geringeren Sicherheitsbedarf als eine große Anwaltskanzlei.

Der im TV-Beitrag betroffene Rechtsanwalt soll übrigens die Löschung seiner Daten bei der Leasing-Firma des Kopierers in Auftrag gegeben haben. Diese bestreitet das wohl. Wer von beiden die Wahrheit sagt, bleibt also offen. Wer letztlich absolute (Daten-)Sicherheit haben möchte, muss bei Rückgabe oder Weiterverkauf seines Multifunktionsgerätes die Festplatte ausbauen bzw. ausbauen lassen – auch wenn dies mit Kosten verbunden sein mag –, an sich nehmen und ggf. physisch zerstören.

Bildquelle: Thinkstock/iStock

©2019Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok