3 Fragen an...

Unter dem Schlagwort „Bring your own Device“ (BYOD) sparen die IT-Chefs zwar Kosten und steigern die Motivation und Effizienz der Mitarbeiter bei der IT-Nutzung. Sie handeln sich aber auch so manches neues Risiko ein. Sie müssen daher ihre Sicherheitskonzepte für mobile Geräte anpassen; die für die Umsetzung dieser organisatorischen Maßnahmen genutzten Security-Lösungen sollten auf jeden Fall flexibel genug sein, um verschiedene Mobilplattformen zu schützen. Worauf es sonst ankommt, erklären zwei ausgewiesene Sicherheitsexperten im Kurzinterview mit IT-MITTELSTAND.

ITM: Mit welcher Maßnahme kann der IT-Leiter sein Unternehmen am wirkungsvollsten vor den Gefahren schützen, die durch den Einsatz mobiler Endgeräte heraufbeschworen werden?

Christian Funk: Unternehmen müssen sich zunächst eine bedarfsgerechte IT-Sicherheitsstrategie zurechtlegen und - mindestens ebenso wichtig - diese auch pflegen und an Veränderungen anpassen. Im Falle von Smartphones im Unternehmen sollte daher unter anderem festgelegt werden, ob private Daten auf das Firmenhandy gelangen dürfen, welche Apps installiert werden dürfen und welche Arten von Informationen auf dem Gerät gespeichert – oder sogar bearbeitet – werden dürfen.

Dabei kommt es immer darauf an, wie sensibel diese Informationen sind. Insbesondere der letzte Aspekt ist hier wichtig, da kleinere Geräte wie Smartphones schneller verloren gehen oder gestohlen werden können als herkömmliche PCs und Laptops. Eine Policy kann hier den Schaden etwaiger Datenverluste in Grenzen halten.

Thomas Hemker: Der erste und einfachste Schritt ist es, die Daten selbst oder die Datenträger automatisch zu verschlüsseln. Symantec unterstützt bereits alle wichtigen PC-Betriebssysteme und wird Schritt für Schritt weitere Betriebssysteme abdecken. Aber Verschlüsselung allein reicht nicht. Unternehmen sollten drei grundlegende Dinge aufsetzen:

Erstens sollten alle mobilen Geräte im Firmennetz inventarisiert und verwaltet werden. Dazu gehört, die Konfiguration für die Geräte zentral vorzugeben und so lokale Sicherheitsfunktionen wie Gerätepasswörter einheitlich zu gestalten. Außerdem sollte der Softwarestand erfasst und durchgesetzt werden, so dass wichtige Patches auf die Geräte gespielt werden.

Zweitens sollten Firmen per Richtlinie festlegen, welche Dienste die Anwender nutzen und welche Dokumente sie auf welche Geräte spielen dürfen. Data Loss Prevention sorgt beispielsweise im Zusammenspiel mit Verschlüsselung dafür, dass als wichtig eingestufte Dokumente automatisch verschlüsselt werden, sobald ein autorisierter Anwender sie auf sein iPad oder einen Laptop kopiert. Für nicht autorisierte Anwender kann das Speichern auf einen USB-Stick oder das Zusenden an eine private Mail-Adresse verhindert werden. Es gibt auch Software-Tools, die den Verantwortlichen dabei unterstützen, diese Richtlinien zu erstellen und zu verwalten. Außerdem helfen sie, den Mitarbeitern die Vorgaben per Webtraining und Fragebogen strukturiert näher zu bringen.

Firmen sollten drittens aber auch in der Lage sein, verlorene oder gestohlene Geräte und ihre Zugänge sofort zu sperren und zu löschen. Mit entsprechenden Lösungen kann der IT-Verantwortliche dank „Remote Wipe“-Funktion lediglich die geschäftlichen Daten auf einem Gerät löschen, ohne die privaten Informationen des Anwenders zu beeinträchtigen. Dies ist etwa dann wichtig, wenn ein Angestellter die Firma verlässt und sein privates Gerät mitnimmt.

ITM:Was ist aus Sicherheitsperspektive besonders zu beachten, wenn die Mitarbeiter auch ihr eigenes Smartphone oder Notebook für die Arbeit nutzen wollen?

Hemker: Ohne Schutz bieten Smartphones, Tablets & Co. den Hackern jede Menge Einfallstore. Im vergangenen Jahr entpuppten sich Schadprogramme als echte Bedrohung. IT-Chefs müssen sich deshalb bewusst sein, dass mobile Geräte Sicherheitsrisiken verursachen, die nur ein Zusammenspiel zahlreicher Gegenmaßnahmen reduzieren kann.

Neben den bereits genannten Aufgabenfeldern Gerätemanagement, Informationsschutz, Richtlinienkontrolle und Authentifizierung ist im ersten Schritt insbesondere bei Android ein lokaler Anti-Malware-Schutz wichtig. Wir haben derzeit rund 4.000 feindliche Apps auf dieser Plattform erfasst, Tendenz steigend. Die Software Symantec Mobile Security für Android untersucht alle Apps im Detail auf ihr Schadenspotenzial und blockiert all jene, die als feindlich klassifiziert wurden.

Funk: Das BYOD-Modell erfreut sich innerhalb von Unternehmen steigender Beliebtheit. Jedoch gibt es aus Sicherheitsperspektive durchaus Bedenken. Die Offenheit der Gerätewahl steigert z.B. automatisch die Heterogenität der mobilen Betriebssystemlandschaft im Unternehmen. Dadurch werden die  Administration und die Konfiguration der verschiedenen Geräte komplexer.

Zudem wird die Auswahl einer Sicherheitssoftware für alle mobilen Betriebssysteme immer größer. Dadurch werden der Aufwand bei der Formulierung und Pflege der Sicherheitsstrategie und die der damit einhergehenden Policies größer.  Zudem verschmelzen bei diesem Modell die private und berufliche Nutzung von Geräten innerhalb eines Unternehmensnetzes, was die Angriffsfläche für IT-Attacken vergrößert.

ITM: Wie können die Mitarbeiter selbst wirkungsvoll einen Beitrag zur IT-Security im Unternehmen leisten?

Hemker: Mitarbeiter sollten darauf achten, sensible Informationen auf ihren Geräten konsequent zu verschlüsseln. Mitarbeiter sollten außerdem bewusst entscheiden, welche Daten sie auf welchen Geräten speichern.
Bei einem Verlust oder Diebstahl der Geräte ist es wichtig, den IT-Administrator sofort zu informieren. Der kann bei Bedarf Geräte aus der Ferne sperren, sensible Inhalte löschen und verhindert damit, dass sie an Dritte gelangen. Darüber hinaus ist es ratsam, sich umfassend über interne Richtlinien zu informieren, mit denen die Handhabung von mobilen Geräten reguliert wird.

Funk: Einen sehr großen Anteil zur Gewährleistung von IT-Sicherheit trägt der Anwender selbst bei. Um hier firmenweit das Sicherheitsbewusstsein zu steigern, sollten in regelmäßigen Abständen Schulungen durchgeführt werden, um mögliche Angriffsvektoren und Konsequenzen einer Infizierung des Unternehmensnetzwerks anhand echter Fälle vorzuführen. So können im Realfall die richtigen Entscheidungen gefällt werden.