„Die Grenzen haben sich verschoben“

MOB: Herr Baltin, immer mehr Mitarbeiter arbeiten außerhalb des Büros und nutzen Smartphones, Tablets und Co. nicht mehr nur für private Zwecke – Stichwort „Remote Work/Homeoffice“. Inwiefern entstehen dadurch Risiken für Unternehmen?
Baltin: Die Grenze zwischen Arbeit und Privatleben ist in den letzten Jahren, insbesondere durch die zunehmende Nutzung privater mobiler Geräte für berufliche Zwecke, immer mehr verschwommen. Hinzukommt, dass seit der Pandemie immer mehr Menschen das Arbeiten von zu Hause aus oder die hybride Arbeitsweise bevorzugen, daher müssen in puncto Sicherheit nicht nur Smartphones und Tablets in Betracht gezogen werden. Es geht um den gesamten vernetzten Lebensstil der heutigen Haushalte: intelligente Stromzähler, Ladestationen für Elektrofahrzeuge, drahtlose Sicherheitskameras oder gar intelligente Türklingeln – all solche smarten Geräte erhöhen die Anzahl potenzieller Eintrittsstellen, die Bedrohungsakteuren Zugang zu privaten und damit auch zu geschäftlichen Netzwerken bieten.



Das belegt auch die Studie, im Rahmen der Blackberry kürzlich potenzielle Sicherheitslücken untersucht hat, die durch die Heimarbeit von Mitarbeitern entstehen. Die Studie betrachtet dabei auch, was die Unternehmen tun, um dieses Sicherheitsproblem zu lösen. Dabei stellte sich heraus, dass beim Kauf von Smart Home-Geräten für die meisten Nutzer der Preis an erster Stelle steht. Für fast 70 Prozent der deutschen Arbeitnehmer, die regelmäßig im Home Office arbeiten, fällt die Cybersicherheit nicht einmal unter die drei wichtigsten Faktoren. Gleichzeitig versäumen es die Arbeitgeber jedoch, das Sicherheitsrisiko durch Maßnahmen zur Ausdehnung der unternehmenseigenen Cybersicherheit auf Heimarbeitsplätze und Netzwerke zu decken. So gaben 74 Prozent der befragten Arbeitnehmer in Deutschland an, dass ihr Unternehmen die Netzwerksicherheit in dieser Hinsicht nicht verbessert.



Das Risiko eines Angriffs durch Geräte, die sowohl für private als auch für berufliche Zwecke genutzt werden, war bereits erheblich. Nimmt man nun noch die Vielzahl neuer und potenziell ungesicherter Zugangspunkte hinzu, die in der häuslichen Umgebung eines Arbeitnehmers entstehen, erhöht sich das Risiko für Unternehmen und ihre Mitarbeiter dramatisch.

MOB: Welche Folgen können Cyberangriffe auf mobile Devices für Mitarbeiter und Unternehmen haben?
Baltin: Mobile Geräte sind auf die Bequemlichkeit des Nutzers ausgelegt – ein Wisch mit dem Finger und eine Warnmeldung ist gelöscht, ein paar Zeilen getippt und eine Verbindung wird akzeptiert, nur ein Klick und ein Bedrohungsakteur hat Zugriff auf wichtige Daten. Phishing ist eine altbekannte Methode, die jedoch nach wie vor eine der größten Cyberbedrohungen darstellt, und die Folgen können ebenso verheerend sein wie ein ausgeklügelter Ransomware-Angriff.

Erst kürzlich wurde beispielsweise Uber Opfer eines Phishing-Angriffs: Ein Hacker gab sich als IT-Mitarbeiter aus und brachte so einen Mitarbeiter dazu, seine Anmeldedaten preiszugeben. Diese Art von „Spear-Phishing"-Angriffen, eine sehr gezielte Phishing-Methode, ist auf mobilen Geräten weit verbreitet – möglicherweise, weil die Nutzer währenddessen oft unterwegs sind, sich dabei weniger konzentrieren als an einem Laptop und eher unvorbereitet getroffen werden. Doch die Folgen für Mitarbeiter und Unternehmen können genauso schwerwiegend sein wie bei jeder anderen Art von Cyberangriff. Dazu gehören Datendiebstahl, Vertrauensverlust und Rufschädigung, Geschäftsausfälle und all die Kosten, die nicht nur bei Ausfällen, sondern auch für die Behebung oder Wiederherstellung und Absicherung eines betroffenen Netzwerks anfallen.

MOB: Auf welche Faktoren muss beim Kauf eines Smartphones oder Tablets geachtet werden, das sowohl privat als auch beruflich genutzt werden soll?
Baltin: Es ist sinnvoll, der Sicherheit eines Geräts die oberste Priorität einzuräumen, doch haben die Studienergebnisse gezeigt, dass nur 30 Prozent der Arbeitnehmer, die regelmäßig im Home Office arbeiten, die Cybersicherheit unter die wichtigsten Faktoren bei der Kaufentscheidung einordnen – verglichen mit 47 Prozent, die sich vor allem vom Kaufpreis leiten lassen. Auch die möglichst einfache Handhabung, Einrichtung und Nutzung der Geräte haben für viele Befragte Vorrang vor der Sicherheit.



Die Lücke, die die EU-Kommission nun mit dem kürzlich vorgeschlagenen europäischen Cyberresilienzgesetz zu schließen versucht, führt „Security by Design"-Standards für vernetzte Geräte ein und ich halte dies für einen wichtigen Schritt. Eben weil die Menschen der Sicherheit nicht den nötigen Stellenwert einräumen, sondern beim Kauf der Geräte eher auf Kosten und Bequemlichkeit achten, daher ist es notwendig, dass von vornherein bestimmte Sicherheitsstandards gelten – angefangen beim Hersteller.

 Zudem ist es unerlässlich, dass Unternehmen die Geräte, die zu Arbeitszwecken verwendet werden, im Blick haben, unabhängig davon, ob sie vom Arbeitnehmer oder vom Arbeitgeber gekauft wurden. Wir ermutigen die Unternehmen daher, ihre Sicherheitsvorkehrungen auf ein möglichst breiteres Spektrum von Endgeräten auszudehnen, unabhängig vom Eigentümer.

MOB: Nicht nur die mangelnde Sicherheit von Mobilgeräten selbst kann zur Herausforderung werden – auch nachträglich installierte Apps bergen Risiken. Worauf sollten Mitarbeiter achten, wenn sie neue Applikationen herunterladen und installieren?
Baltin: In der Regel besteht der erste und wichtigste Schritt darin, zu überprüfen, ob Aufforderungen zur Installation ebenso wie die Anwendung selbst aus einer bekannten, vertraulichen Quelle stammen. IT-Abteilungen fordern die Mitarbeiter regelmäßig dazu auf, neue Anwendungen herunterzuladen oder erinnern an wichtige Aktualisierungen für bestehende Anwendungen. So wird gewährleistet, dass Sicherheitspatches auf dem neuesten Stand sind und dass alle Mitarbeiter die neuesten Versionen der im Unternehmen verwendeten Software verwenden. Dies wiederum trägt auch dazu bei, dass alle sicher sind.



Daneben gibt es jedoch auch noch Downloads, die so mancher Mitarbeiter aus weniger kontrollierten Quellen wie App-Stores, sozialen Medien, Empfehlungen von Freunden etc. vornimmt. In solchen Fällen muss der Mitarbeiter das potenzielle Risiko beachten. Hier ist es wichtig, immer einen bekannten App-Store (z. B. Google Play oder den Apple App Store) zu nutzen. Außerdem sollte direkt auf den Download über den Store zugegriffen werden, nicht über einen Link. Auch wenn es einfacher ist, wenn z. B. in einem sozialen Netzwerk ein Link zum Download angegeben ist, diesen direkt anzugehen, so empfiehlt es sich dringendst, den (sichereren) Umweg zu gehen und im Store nach der App zu suchen, um zu überprüfen, ob es sich um die Originalversion handelt. 

MOB: Besonders Messenger werden häufig privat und beruflich genutzt. Wie sicher sind diese im Allgemeinen? Inwiefern gibt es Ausreißer?
Baltin: Messenger-Dienste und andere Apps für die Kommunikation und Zusammenarbeit stellen häufig eine Schwachstelle dar – und das ist Cyberkriminellen bewusst! Vor ein  paar Wochen gab es einschlägige Vorfälle bei Uber und Rockstar Games, dem Entwickler des Grand Theft Auto-Franchise, bei denen sich der Hacker zunächst Zugang über die Slack-App verschaffte. Diese beiden Sicherheitsvorfälle – die tatsächlich von demselben Hacker begangen wurden – verdeutlichen die heutigen Möglichkeiten für Cyberkriminelle über Messaging-Apps, vom IP-Diebstahl bis hin zum vollen Zugriff auf Unternehmensnetzwerke und wertvolle Daten. Dies ist eine Schwachstelle, derer sich Branchen wie die Finanzwirtschaft bewusst sind, sodass sie versuchen, sie zu regulieren. Mehrere der weltweiten Bankenriesen mussten bereits Geldstrafen von insgesamt über 1 Mrd. US-Dollar für die Nutzung ungesicherter Messaging-Apps wie Whatsapp und privater E-Mails durch Mitarbeiter zahlen.



Die Wurzeln von Blackberry liegen im sicheren Messaging. Der Blackberry Messenger (BBMe) ist nach wie vor verfügbar und sorgt für sichere textbasierte Kommunikation in Unternehmen auf Telefonen, Laptops und Tablet-Geräten. Zusätzlich dazu bietet Blackberry Secusmart hochsichere Sprach- und Messaging-Kommunikation für iOS und Android.

MOB: Auch bei vermeintlich sicheren, verschlüsselten Nachrichtendiensten besteht die Gefahr des Datenklaus – so erst vor Kurzem geschehen bei dem Messenger „Signal“. Worauf müssen User bei der Handhabung achten und welche Fehler gilt es zu vermeiden?
Baltin: In der heutigen Zeit, geprägt durch Home Office und Telearbeit, gestaltet es sich für Unternehmen schwierig, die Nutzung von Anwendungen für die Zusammenarbeit und den Nachrichtenaustausch vollständig zu unterbinden – doch es kommt vielmehr darauf an, das richtige Tool zu verwenden. Der Finanzsektor gehört zu den ersten Branchen, die ernsthaft gegen die Nutzung ungesicherter Kanäle für den Austausch sensibler Informationen vorgehen. Und ich gehe davon aus, dass weitere Unternehmen und Branchen diesem Beispiel folgen werden, wenn sie erkennen, wie groß die Risiken sind, die Anwendungen wie Messaging-Apps verursachen können.



Dabei sollten sich Nutzer jederzeit der Art der Informationen bewusst sein, die über ungesicherte Anwendungen ausgetauscht werden. Ebenso liegt es in der Verantwortung der Unternehmen, für Aufklärung zu sorgen und hierfür Richtlinien festzulegen. Beispielsweise sollten niemals IP-Adressen oder Passwörter weitergegeben werden, Finanz-, Kunden- oder persönlichen Daten ebenso wenig. Doch das Wichtigste: Vor dem Absenden nachdenken!

MOB: Wie könnten sich Remote Work bzw. die Homeoffice-Arbeit in Zukunft sicherer gestalten lassen und welche neuen Technologien könnten dabei zum Einsatz kommen?
Baltin: Es gibt zwei Möglichkeiten, dieses Problem zu lösen. Zum einen sind Käufer und Nutzer dazu angehalten, mehr auf die Sicherheit der Geräte zu achten, die zuhause und am Arbeitsplatz genutzt werden. Nutzer sollten sich vor Augen führen, dass sowohl persönliche Daten ihrer eigenen Familie und die Daten ihres Arbeitgebers geschützt werden können, wenn bei der Kaufentscheidung für intelligente Geräte die Sicherheit in den Vordergrund gestellt wird.



Zweitens müssen sich Unternehmen darüber im Klaren sein, dass der Schutz vor Cyberangriffen nicht an der physischen Eingangstür zum Büro Halt macht. Die heutige Arbeitsumgebung erstreckt sich auf Privathaushalte, Cafés, Züge und Flugzeuge, nahezu überall – und das Unternehmensnetzwerk muss auf dem gesamten Weg zu jedem Endpunkt bestmöglich geschützt sein. 
0

Effektive Hybrid- und Heimarbeitspraktiken in Haushalte zu implementieren, die zwar immer intelligenter, aber nicht unbedingt sicherer werden, kann durchaus eine Herausforderung sein. Daher ist es wichtig, dass Unternehmen bei ihren Überlegungen und den Maßnahmen in puncto Cybersicherheit auch die Geräte außerhalb ihrer unmittelbaren Reichweite nicht vergessen.

Bildquelle: Blackberry