„Schäden können viele Formen annehmen“

MOB: Herr Wenger, immer mehr Mitarbeiter arbeiten außerhalb des Büros und nutzen Smartphones, Tablets und Co. nicht mehr nur für private Zwecke – Stichwort „Remote Work/Homeoffice“. Inwiefern entstehen dadurch Risiken für Unternehmen?
Wenger: Dass mobiles Arbeiten für viele mittlerweile zum Alltag gehört, eine logische Konsequenz aus den Entwicklungen der vergangenen Jahre und prinzipiell zu begrüßen. Gerade bei ‚Denkarbeiter‘ lässt sich schwer für eine Anwesenheitspflicht argumentieren. Allerdings gibt es einen Trade-off zwischen der neuen Flexibilität und der IT-Sicherheit: Unternehmen können nicht mehr so gut kontrollieren, ob ihre Mitarbeiter die Best Practices in Sachen Datensicherheit befolgen. Verfahren wie die Zwei-Faktor-Authentisierung helfen zwar dabei, den Zugriff von Unbefugten auf Firmendaten zu erschweren. Doch alle Sicherheitsvorkehrungen helfen nichts, wenn ein Angestellter sich beispielsweise während der Arbeit in einem Café oder im Zug in ein öffentliches Wlan einloggt und sich somit angreifbar macht.

Darüber hinaus setzen nahezu alle Unternehmen, die Remote oder Mobile Work anbieten, auf die Dienste von Cloud-Dienstleistern wie Microsoft, Google oder Amazon. Diese bieten zwar einen gewissen Schutz – die Übertragung von Daten erfolgt standardmäßig verschlüsselt – kommen aber selbst nicht ohne eigene Risiken daher. Da es sich letztlich um zentralisierte Cloud-Infrastrukturen handelt, gibt es immer einen Single-Point-of-Failure, der Hacker anzieht.

MOB: Welche Folgen können Cyberangriffe auf mobile Devices für Mitarbeiter und Unternehmen haben?
Wenger: Die durch Cyberangriffe verursachten Schäden können viele Formen annehmen und reichen vom Materiellen bis zum Imageschaden. Letzterer betrifft vor allem Unternehmen, die mit besonders sensiblen Daten wie Ausweisdokumenten, Finanzen oder Gesundheitsakten umgehen. Doch auch Spionagesoftware, die etwa durch einen unachtsam angeklickten Link auf dem Smartphone oder Laptop von Mitarbeitern landet, kann für enormen Schaden sorgen. Auf einschlägigen Hacker-Foren werden regelmäßig die Daten von Hunderttausenden Nutzern zum Verkauf angeboten. Das kann für Unternehmen doppelt teuer werden: Denn neben dem Lösegeld, das für gestohlene Daten gezahlt werden muss, droht auch eine Klage der Kunden. Erst letztes Jahr verklagten Nutzer von T-Mobile USA das Unternehmen auf Schadensersatz, nachdem die Daten von fast 80 Millionen Kunden im Darkweb auftauchten. Es kam letztlich zwar nicht zu einer Verurteilung, dafür aber zu einem Vergleich, der die Telekom-Tochter 500 Millionen US-Dollar kostete.

MOB: Auf welche Faktoren muss beim Kauf eines Smartphones oder Tablets geachtet werden, das sowohl privat als auch beruflich genutzt werden soll?
Wenger: Zunächst müssen Unternehmen sich damit auseinandersetzen, welche Policy sie für die Nutzung von Privathandys verfolgen wollen. Hier gibt es unterschiedliche Ansätze, mit jeweils eigenen Vor- und Nachteilen in puncto Flexibilität und Sicherheit. Manche Unternehmen verfahren nach BYOD – bring your own device. Dieser Ansatz erlaubt die Nutzung privater Handys für Dienstzwecke und bietet Mitarbeitern die größte Flexibilität. Allerdings hat der Arbeitgeber bei BYOD praktisch keine Kontrolle darüber, für welche Zwecke die Angestellten ihre Smartphones tagtäglich nutzen. Die Gefahr, dass Schadsoftware auf den Geräten landet, ist bei der Nutzung des BYOD-Prinzips daher am größten. Außerdem bedeutet BYOD einen höheren Aufwand für den IT-Support des Unternehmens, da die vollständige Bandbreite an unterschiedlichen Herstellern und Betriebssystemen berücksichtigt werden muss. Etwas mehr Kontrolle bietet COPE: Coroporate Owned, personally enabled. Arbeitnehmer erhalten ein Handy und einen Vertrag für die private und die geschäftliche Nutzung. In jedem Fall muss das Smartphone die Erstellung von Arbeitsprofilen unterstützen, sodass eine klare Trennung von Privat- und Geschäftsdaten erfolgen kann. Sowohl Android als auch iOS verfügen über diese Möglichkeit.

MOB: Nicht nur die mangelnde Sicherheit von Mobilgeräten selbst kann zur Herausforderung werden – auch nachträglich installierte Apps bergen Risiken. Worauf sollten Mitarbeiter achten, wenn sie neue Applikationen herunterladen und installieren?
Wenger: Prinzipiell muss man sich immer darüber im Klaren sein, warum eine App kostenlos angeboten wird. In den allermeisten Fällen bezahlt man bei diesen Anwendungen mit seinen Daten – man wird gewissermaßen selbst zum Produkt. Einen guten Anhaltspunkt liefern die Berechtigungen, die von einer App erfragt werden. Diese kann man mittlerweile bereits vor dem Download einsehen. Warum muss ich beispielsweise einer App, die lediglich als Wecker fungieren soll, den Zugriff auf meinen Standort, meine Kontakte und Fotos gewähren?

Besondere Vorsicht ist zudem bei Apps geboten, die nicht aus den offiziellen App-Stores von Apple oder Google stammen. Diese nicht kuratierten Apps haben ein extrem hohes Schadpotenzial.

MOB: Besonders Messenger werden häufig privat und beruflich genutzt. Wie sicher sind diese im Allgemeinen? Inwiefern gibt es Ausreißer?
Wenger: Mittlerweile verfügt nahezu jeder Messenger über die Option, Nachrichten mit Ende-zu-Ende-Verschlüsselung zu versenden. Diese reicht nach heutigem Stand aus, um die Datenübertragung sicher zu halten. Das Sicherheitsrisiko liegt weniger in der Verschlüsselung selbst, sondern darin, wie die sichere Verbindung aufgesetzt wird. Auch bei den verschlüsselten Messengern muss zunächst einer Drittpartei – z.B. Meta bei WhatsApp – vertraut werden. Das macht einen Messenger prinzipiell verwundbar gegenüber Man-in-the-Middle-Angriffen. Hierbei schaltet sich ein Unbefugter in den Datenaustausch zwischen zwei Parteien ein, ohne dass diese das bemerken.

MOB: Auch bei vermeintlich sicheren, verschlüsselten Nachrichtendiensten besteht die Gefahr des Datenklaus – so erst vor Kurzem geschehen bei dem Messenger „Signal“. Worauf müssen User bei der Handhabung achten und welche Fehler gilt es zu vermeiden?
Wenger: Die Causa Signal hat gezeigt, dass eine robuste Verschlüsselung wenig hilft, wenn die Schwachstelle bei einem Partnerunternehmen liegt. Im Fall von Signal war dies der Kommunikationsdienstleister Twilio. Signal nutzt Twilio, um die Rufnummern der User zu überprüfen. Nun wurde Twilio nicht direkt Opfer eines Hacks, sondern eines Phishing-Angriffs – menschliches Versagen also. Der Angreifer hatte kurzzeitig Einblick in die Rufnummern und SMS-Verifizierungscodes von rund 1.900 Signal-Nutzern. Obwohl Signal vorbildlich und sehr schnell auf den Vorfall reagiert hat, illustriert der Fall einmal mehr, dass eine Ende-zu-Ende-Verschlüsselung nur bedingt Schutz bieten kann, solange noch angreifbare Drittparteien mitmischen.

MOB: Wie könnten sich Remote Work bzw. die Homeoffice-Arbeit in Zukunft sicherer gestalten lassen und welche neuen Technologien könnten dabei zum Einsatz kommen?
Wenger: Am wichtigsten ist es, Mitarbeiter für das Thema Datensicherheit zu sensibilisieren. Gerade Phishing-Angriffe werden immer raffinierter. Die gefaketen E-Mails lassen sich manchmal, selbst vom geschulten Auge, kaum noch vom Original unterscheiden. Weil immer mehr Unternehmen ihre Angestellten über die Cloud arbeiten lassen, wächst die Gefahr, dass ein Angestellter auf eine Phishing-Mail hereinfällt und unbefugten Zugriff auf hochsensible Unternehmensdaten gewährt. Das sicherste Passwort ist wertlos, wenn man es in ein gefälschtes Formular eingibt.

Doch auch aufseiten der technologischen Infrastruktur gibt es einige Fallstricke, vor allem bei zentral verwalteten Systemen, die heute noch immer die Regel sind. Hier könnten neue Technologien wie die Blockchain helfen, Netzwerke robuster zu machen, weil es keinen zentralen Angriffspunkt gibt. Außerdem muss bereits heute an das Potenzial von Quantencomputern gedacht werden. Diese ermöglichen zwar völlig neue Methoden, Daten zu verschlüsseln, allerdings wird ein kommerziell einsetzbarer Quantencomputer im Umkehrzug viele, der heute noch weit verbreiteten Verschlüsselungsmethoden knacken können.

Bildquelle: Elixier