Mobile Sicherheit ist keine Einzelmaßnahme

Mobile Security ist Chefsache, denn durch mobile Prozesse entstehen neue Gefährdungen. Zu den bekannten IT-Risiken wie Hackerattacken, Wirtschaftsspionage oder Denial-of-Service-Angriffe auf die Website kommen eine ganze Reihe zusätzlicher Gefahren auf die Unternehmen zu. Dies muss in der IT-Strategie berücksichtigt werden.

Die meisten Unternehmen wollen in erster Linie sicherstellen, dass ihre Geschäftsprozesse auch mit mobilen Apps funktionieren. Doch zahlreichen Managern ist noch nicht klar, dass sie mobile Geräte intern ebenso überwachen müssen wie andere Endpunkte, zum Beispiel die herkömmlichen Desktop-PC oder die Notebooks für das Homeoffice.

Risiken von Mobilgeräten

Smartphones und Tablets sind stark spezialisierte Endgeräte, die auf die gleiche Weise an das Enterprise-LAN angeschlossen werden müssen wie Windows-Computer. Der Grund ist ganz einfach: Sie haben ähnliche Fähigkeiten.

Die Risiken entsprechen denen von anderen Computern, häufig steht bei den Unternehmen aber lediglich der Schutz vor Malware im Vordergrund. In der Tat handelt es sich hier um eine enorme Bedrohung für mobile Geräte, die im Moment schnell wächst.

Laut dem Marktforschungsunternehmen Kantar laufen drei Viertel der mobilen Endgeräte in Deutschland auf Android. Kein Wunder also, dass viele Cyberkriminelle sich genau diese Plattform für Ihre Angriffe ausgesucht haben. So ist die Anzahl der Malware-Attacken auf Android-Geräte zwischen 2013 und 2014 alleine Deutschland um 1.651 (!) Prozent gestiegen.

Doch nicht nur die schiere Menge der Schadprogramme ist gefährlich, auch die Angriffsverfahren werden ausgefeilter. Zurzeit nimmt Android eine ähnliche Entwicklung wie Windows. Zahlreiche Malware-Techniken werden übernommen, zum Beispiel „Ransomware“. Sie sperrt die Geräte für den Anwender und erpresst dann Geld.

Ein großes Risiko ist die Tatsache, dass nicht alle Hersteller die Betriebssysteme schnell und regelmäßig aktualisieren. So kann es sein, dass einzelne Geräte längere Zeit eine bekannte Sicherheitslücke besitzen, die von Angreifern ausgenutzt werden kann – entweder zum Kapern des Smartphones für den Aufbau eines mobilen Botnetzes oder für die Installation von Trojanern, die beispielsweise Passwörter zum Zugriff auf unternehmensinterne Ressourcen haben.

Hinzu kommt die größte Gefahr bei Mobilgeräten: Sie können sehr leicht verloren gehen oder gestohlen werden. In diesem Fall ist es durchaus möglich, dass sich ein potentieller Angreifer recht unkompliziert den Zugang zu den Business-Apps eines Unternehmens verschaffen kann und damit zu geschäftskritischen Daten.

Sicherheit ist keine Einzelmaßnahme

Bereits diese kurze und bei weitem nicht vollständige Aufzählung von Risiken zeigt: Sicherheit, auch mobile Sicherheit ist keine Einzelmaßnahme. Stattdessen ist immer ein umfassendes Sicherheitskonzept notwendig, das im Rahmen einer IT-Gesamtstrategie verwirklicht werden muss.

Ein wichtiger Punkt auf der Checkliste ist der Ausgleich zwischen Informationssicherheit und Benutzerfreundlichkeit. Viele sehr strenge Security-Maßnahmen schränken den Komfort von Mobilgeräten stark ein. Die Folge ist Unzufriedenheit und häufig eine Gegenreaktion: Die Mitarbeiter umgehen die vom Unternehmen bereitgestellten Lösungen und wählen sich ihre eigene „Schatten-IT“.

Bevor es an die Planung von Maßnahmen geht, sollten die IT-Organisation eine Reihe von wichtigen Leitfragen beantworten (können):

• Welche Anwendungsfälle gibt es in den Fachbereichen?
• Welche Anforderungen hat das Business?
• Welche Sicherheitsrisiken sind mit beidem verbunden?
• Welche Compliance-Anforderungen muss das Unternehmen erfüllen?
• Ist eine grundsätzliche Verschlüsselung aller E-Mails und Business-Daten notwendig?
• Sollen jede Geschäftsanwendung in einem passwortgeschützten Container ausgeführt werden, sodass sie unabhängig von der normalen Arbeitsumgebung des Mobilgeräts arbeitet?

Doch solche strategischen Überlegungen reichen nicht aus. Ein wesentliches Sicherheitsrisiko sind die Mitarbeiter selbst. Sie tendieren häufig zu „allzumenschlichem“ Verhalten und kopieren schnell mal ein paar Dokumente aus dem als umständlich empfundenen Business-Container in ihre private Dropbox.

Deshalb gehören in jede IT-Sicherheitsstrategie auch Überlegungen zur Schulung und zum regelmäßigen Training der Mitarbeiter. Awareness-Seminare und Trainings im sicheren Umgang mit Mobilgeräten sollten allerdings keine reinen Alibi-Veranstaltungen sein. Denn auch beim Thema IT-Sicherheit gilt: Der Mitarbeiter ist die wertvollste Ressource.
 

Bildquelle: Thinkstock/ iStock