Anzeige

Hacker Mobile

Die Nutzung von Apps ist weit verbreitet, stellt die Sicherheitsverantwortlichen in Unternehmen aber vor große Herausforderungen. Firmen verlieren schnell die Kontrolle über ihre Daten und riskieren Verstöße gegen rechtliche Regelungen und Compliance-Vorgaben, warnt Virtual Solution. Fünf Beispiele zeigen, wie gefährlich es ist, wenn Unternehmen den Wildwuchs mobiler Schatten-IT nicht eindämmen.

Mitarbeiter kommunizieren heute per WhatsApp mit ihren Kunden oder nutzen Apps wie Dropbox oder Google Drive zum Teilen und Bearbeiten von Dokumenten. Die weitgehend unkontrollierte und nicht autorisierte Nutzung dieser mobilen Schatten-IT erhöht allerdings die Angriffsfläche – vor allem wenn Mitarbeiter ihre Geräte beruflich und privat verwenden, beispielsweise über BYOD (Bring your own device)- oder COPE (Corporate-owned, personally enabled)-Modelle. Oftmals ungesichert lassen sie Angreifer quasi „durch die Hintertür“ ins Unternehmen und ermöglichen schlimmstenfalls den Zugriff auf Firmendaten. Auch rechtliche Regelungen oder Compliance-Vorgaben werden durch die unkontrollierte Nutzung der verschiedensten Apps umgangen.

Hier sind die fünf größten Risiken, die durch „Schatten-Apps“ drohen:

Unverschlüsselte E-Mails

Berufliche E-Mails, die über ein privates Smartphone verschickt werden, bieten Angreifern wertvolle Einblicke in das Unternehmen, angefangen bei Betreff und Mailtext bis hin zu Attachments interner Dokumente. Das Problem liegt meist in der unzureichenden Absicherung: Weder gibt es eine End-to-End-Verschlüsselung der Mails noch sind die Sicherheitsvorkehrungen in öffentlichen WLANs ausreichend, um ein Abfischen von Daten zu verhindern. Dass Unternehmensgeheimnisse in unverschlüsselten E-Mails mitgelesen und weitergeleitet werden, will sicherlich kein Unternehmen.

Datenhungrige Apps

Neben gezielten Attacken Krimineller gibt es aber auch „legale Wege des Informationsabflusses“. Viele Apps haben eingebettete Funktionen zur Datenexfiltration, also zum Abzug von Daten. Im Fall von WhatsApp beispielsweise ist das der Zugriff auf die Kontaktliste, in der auch Business-Kontakte gespeichert sein können. Das stellt einen Verstoß gegen die Vorgaben der DSGVO dar, die vorschreibt, dass personenbezogene Daten nicht einfach ohne Zustimmung verarbeitet und weitergeleitet werden dürfen. In der Konsequenz hat das Unternehmen nicht mehr die volle Kontrolle über die Daten und kann daher nicht dokumentieren, wo personenbezogene Daten gespeichert werden und kann sie auch nicht löschen. Die DSVGO fordert zudem eine strikte Trennung von privaten und dienstlichen Daten. Halten sich Unternehmen nicht daran, können sie mit empfindlichen Strafzahlungen zur Verantwortung gezogen werden. Den Verantwortlichen muss klar sein, dass WhatsApp für den Business-Gebrauch nicht erlaubt ist.

Speicherung sensibler Dokumente

Speichern Mitarbeiter Dokumente mit sensiblen Unternehmensdaten auf dem mobilen Device ab, ist das Risiko, dass diese Informationen im Falle eines Diebstahls in die falschen Hände geraten, groß. Schlimmstenfalls kann jeder die Daten einsehen. Sollte ein Gerät verloren, beschädigt oder gestohlen werden, sind zudem jegliche darauf gespeicherten Daten weg – sofern keine Sicherungen in Echtzeit angelegt werden. Ein Datenverlust dieser Art schädigt die Reputation eines Unternehmens immens.

Phishing-Attacken im Browser

Kriminelle sind mittlerweile so gewieft, dass sie täuschend ähnliche Benutzeroberflächen in den Browser „einschmuggeln“. Der ahnungslose Nutzer meldet sich dann auf einer Fake-Seite mit seinen Zugangsdaten an. Die so erschlichenen Daten können Betrüger zum Beispiel für einen Erpressungsversuch nutzen oder sie im Internet veröffentlichen.

Gekündigte Mitarbeiter

Mitarbeiter, die im Streit gehen, fühlen sich oft ungerecht behandelt und wollen sich vielleicht an ihrem Ex-Arbeitgeber rächen. Wenn sich auf ihrem privaten Smartphone Firmendaten befinden, haben sie genügend Munition für Racheaktionen, die dem Unternehmen sowohl finanziell als auch in puncto Reputation einen enormen Schaden zufügen können.

Die Sorglosigkeit von Mitarbeitern beim Umgang mit Smartphones und Tablets beruht vielfach auf Wissensdefiziten. Umso wichtiger sind Schulungen. Genauso entscheidend ist es, einzelne Abteilungen in die Auswahl von Tools miteinzubeziehen. Nur so kann sichergestellt werden, dass sinnvolle Apps bereitgestellt und dabei auch Sicherheitsstandards eingehalten werden. Eine Lösung, die einfach zu handhaben und zu implementieren ist, ist eine Container-App. Sie stellt einen verschlüsselten Bereich auf dem Mobilgerät her, auf welchen andere Apps keinen Zugriff haben.

„Mein Tipp an Unternehmen: Kontrollieren Sie erstens die IT-Nutzung. Zweitens: Sensibilisieren und schulen Sie Ihre Mitarbeiter. Drittens: Finden Sie die Gründe für die mobile Schatten-IT heraus. Viertens: Erlauben statt verbieten – bieten Sie attraktive Alternativen an. Letzten Endes gibt es nur ein Lösung für das Problem Schatten-IT, die IT-Abteilung muss den Mitarbeitern die Anwendungen zur Verfügung stellen, die sie für ihre Arbeit brauchen und die einfach zu bedienen sind“, erklärt Günter Junk, CEO der Virtual Solution AG in München.

 www.virtual-solution.com


Weitere Artikel

Mobile Security

Unerwünschte Zugriffe auf das Smartphone verhindern

Das Smartphone ist unser ständiger Begleiter, selbst im Urlaub am Strand oder See, und daher in vielen Situationen gefährdet. Auch aus der Ferne sind illegale Zugriffsversuche möglich.
UEFA EURO 2020

Wie sicher sind die Apps für die UEFA EURO 2020?

Die UEFA EM 2020 ist im vollen Gange und Deutschland steht vor dem letzten Gruppenspiel. Gespannt wird das Spiel, wie auch alle weiteren Länderspiele, von Fußball-Fans verfolgt – sei es beim Public Viewing, Zuhause vor dem Fernseher oder per EM-App über das…
Mobile Security

Sicher ist sicher: So muss mobile Kommunikation verschlüsselt werden

Wenn Mitarbeiter über Smartphone und Tablet E-Mails verschicken, Nachrichten austauschen oder Dateien ins Intranet hochladen, spielt Verschlüsselung eine wichtige Rolle. Virtual Solution erklärt, welche Verfahren höchsten Sicherheitsanforderungen gerecht…
Update

LastPass Authenticator Update

LogMeIn Inc. gab das Update der LastPass Authenticator Mobile App bekannt. Die neue Integration von Top-VPN (Virtual Private Network)-Anbietern wie Cisco, Palo Alto Networks und OpenVPN sowie weitere neue Funktionen für Admins sorgen für eine verbesserte MFA.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.