Cyber-Security Diese fünf Sicherheitsrisiken sollten vermieden werden

Die Herausforderungen der IT-Sicherheit nehmen bei Krankenhäusern, Energieversorgern und öffentlichen Einrichtungen kontinuierlich zu, denn die Angriffsflächen für Hacker werden immer vielfältiger. Der Security-Anbieter Virtual Solution warnt vor fünf Sicherheitsfallen, die Betreiber von kritischen Infrastrukturen (KRITIS) vermeiden sollten.

Anbieter zum Thema

Insider Research

Materna Virtual Solution GmbH

KRITIS-Unternehmen müssen vor allem ihre mobile Kommunikation vor den unterschiedlichsten Sicherheitsrisiken schützen, warnt Virtual Solution. „Mobile Endgeräte etwa sind längst selbstverständliche Begleiter im Arbeitsalltag. Sie werden zur Übermittlung sensibler Daten und vertraulicher Inhalte genutzt, ohne dass sie in dieselben strengen Sicherheitsmaßnahmen wie die lokalen Arbeitsplatzrechner eingebunden sind“, betont der IT-Security-Anbieter.

Folgende Risiken stellen die IT-Verantwortlichen dabei vor große Herausforderungen – speziell bei der Duldung von privaten Geräten für berufliche Zwecke beziehungsweise der privaten Nutzung geschäftlicher Handys:

• Nutzung unautorisierter Apps. Anwender sind es gewohnt, mal eben eine neue App auszuprobieren. Ob diese tatsächlich sicher vor Malware ist beziehungsweise die Richtlinien der Datenschutzgrundverordnung einhält, wird dabei nicht hinterfragt. Die DSGVO schreibt vor, dass personenbezogene Daten ohne Einverständnis der Betroffenen nicht in irgendeiner App landen dürfen. Gerade beliebte Dienste wie WhatsApp verursachen aber ungewollte Datenlecks. Der Messenger liest die Adressbücher der Mitarbeiter inklusive eMail-Kontakte und Telefonnummern von Kollegen, Kunden oder Partnern aus und gibt diese Daten an die Konzernmutter Facebook weiter.

• Ungesicherte WLANs: Im Hotel, in der Bahn, im Café – mobile Endgeräte nutzen WLAN-Verbindungen mittlerweile häufiger als das Mobilfunknetz. Problematisch dabei ist, dass die meisten Hotspots nicht verschlüsselt sind. Das ermöglicht den Nutzern zwar einen bequemen Zugang – gleichzeitig stehen Hackern alle Tore offen, um Zugangsdaten abzugreifen und den kompletten Datenverkehr mitzulesen. Zudem können die Hotspots frei benannt werden, was die Gefahr des Netzwerk-Spoofing erhöht. Betrüger können einen vermeintlich bekannten Namen verwenden, um User in ihr WLAN zu locken.

• Vermischung von Privatem mit Dienstlichem: Nutzen Mitarbeiter – entsprechend dem BYOD (Bring Your Own Device)- beziehungsweise COPE (Corporate Owned, Personally Enabled)-Modell – ihre privaten Geräte für berufliche Zwecke oder umgekehrt, werden Daten gerne mal zwischen dem dienstlichen und dem privaten Bereich hin und her geschoben. Das ist beispielsweise der Fall, wenn geschäftliche Dateien im eigenen Dropbox-Account zwischengespeichert werden. Für Unternehmen wird es allerdings schwierig, die Richtlinien der DSGVO, Bestimmungen zum Urheberrecht oder Aufbewahrungspflichten einzuhalten – gleichzeitig sinkt das Schutzniveau.

• Kein Passwortschutz und keine Verschlüsselung: Mobile Endgeräte können verloren gehen, gestohlen werden und damit in die Hände von Unbefugten gelangen. Wenn das Smartphone ungenügend gesichert ist, also ein schwaches oder gar kein Passwort vorhanden ist und eine zertifikatsbasierte Authentifizierung fehlt, ist es für Kriminelle relativ leicht, an die Daten auf dem Gerät zu kommen. Ist es geknackt, haben sie meist auch Zugriff auf Cloud, Filesharing oder Netzwerke. Auch eine Verschlüsselung ist normalerweise nicht Standard bei der mobilen Kommunikation. Werden allerdings Daten unverschlüsselt abgespeichert und übertragen, erhöht sich das Risiko eines Zugriffs durch Unbefugte von außen drastisch.

• Nicht gepatchte Geräte: Updates für das Smartphone-Betriebssystem wie auch die heruntergeladenen Apps sind für den User oft lästig, aber unumgänglich. Nur so lassen sich Sicherheitslücken, die durch Fehler oder Schwachstellen in den Anwendungen entstehen, schließen, bevor ein Angreifer diese ausnutzen kann. Gerade bei BYOD-Modellen wird es allerdings für die IT-Verantwortlichen zu einer fast unlösbaren Aufgabe, zu kontrollieren, ob das Smartphone jedes einzelnen Mitarbeiters auf dem neuesten Stand ist.

„Die Cyber-Angriffe auf Krankenhäuser und Pharma-Unternehmen in den letzten Monaten haben gezeigt, wie weitreichend die Folgen eines Hacker-Angriffs sind. Der Schutz kritischer Infrastrukturen erfordert im digitalen Zeitalter auch bei der mobilen Kommunikation neue Wege und Mittel“, erklärt Sascha Wellershoff, Vorstand von Virtual Solution in München. „Die Antwort darauf ist eine Container-Lösung wie beispielsweise SecurePIM, die auf dem mobilen Endgerät den dienstlichen strikt von dem privaten Bereich trennt. Sollte ein Angreifer sich tatsächlich Zugang zu Smartphone oder Tablet verschafft haben, steht er dann quasi vor einer einbruchsicheren Tür“, fügt Wellershoff hinzu.

Die Daten und Dokumente würden so nach höchsten Standards verschlüsselt gespeichert und auch Ende-zu-Ende verschlüsselt übertragen. Gleichzeitig sei die Einhaltung der DSGVO garantiert. Sehr wichtig sei auch eine hohe Benutzerfreundlichkeit. „Unternehmens-Apps müssen genauso einfach zu bedienen sein wie man es von seinen privaten Apps gewohnt ist – nur wirklich genutzte Lösungen erhöhen den Schutz vor Cyber-Angriffen auf mobile Endgeräte“, erläutert Wellershoff.

(ID:46748424)