MOBILE RISIKEN

20/13
Mobile XXX
Security XXX
Titel 13
gemacht. Im Zweifelsfall seien immer die
originalen Sprachfassungen vorzuziehen,
so Sullivan. Er warnt auch, Nicht-Gmail-
Clients zur Abfrage von E-Mails über Android-Geräte
zu verwenden: Hier stellten
Angreifer derzeit vermehrt Spear-Phishing-
Fallen auf, indem sie den Anwendern verseuchte
Apps unterjubelten, über die sie
den Mail-Verkehr abfangen könnten.
Wer auf seinem Smartphone sowohl private
als auch geschäftliche Daten vorhält,
muss besonders aufpassen: Anwendungen
wie WhatsApp leiten Kontaktdaten weiter
und zapfen dafür auch die Informationen
aus den Firmenkonten an, sofern sie nicht
daran gehindert werden. „IT-Sicherheitsverantwortliche
müssen wissen, wo die
Gefahren der einzelnen Apps liegen, und
genau prüfen, welche Anwendungen sie
auf den Smartphones zulassen und mit welchen
Rechten diese versehen werden dürfen“,
schreiben die Security-Berater von
Trend Micro in ihrem Februar-Whitepaper
„Android-Apps: Nicht schädlich heißt nicht
ungefährlich“. Mit dem Black- und Whitelisting
von Apps über Mobile-Device-Management-Werkzeuge
können Unternehmen
bereits eine Menge dieser Probleme lösen.
Voraussetzung ist, dass die Sicherheitsverantwortlichen
wissen, welche
Geräte sich in ihren
Netzen tummeln und mit
Geschäftsdaten hantieren.
Erste Lösungsansätze für
umfassende mobile Schutzkonzepte
werden derzeit
in den Unternehmen
getestet.
Einer ist die Abkehr
vom Gerätefokus
und damit dem Endpoint-Blickwinkel
–
das empfiehlt
Thorsten Rosendahl,
Consultant
Thorsten Rosendahl,
Consultant System Engineer, Cisco:
„Wedeln Sie nicht mit dem Zeigefinger,
wenn etwas passiert ist.
Setzen Sie auf die Sensibilisierung
der Mitarbeiter,
nutzen Sie aber auch
die Security-Tools,
die es am
Markt
gibt.“
„Schauen Sie sich an, wie Ihr Netz gesichert
ist, und bauen Sie ein Gesamt-Sicherheitskonzept
auf. Klären Sie dafür besonders
Ihre Use Cases. Wofür brauche ich
welche Geräte? Vergegenwärtigen Sie sich
zunächst die Einsatzszenarien und schaffen
danach erst die nötigen Geräte dafür an. “
Sergej Schlotthauer, CEO, EgoSecure
System Engineer bei Cisco. Angesichts der
Mengen unterschiedlichster Geräte und
Formfaktoren, die heute und auch in Zukunft
in die Anwenderlandschaft drängten,
sollte der Datenverkehr im Zentrum der
Sicherheitsbemühungen stehen. „Wir brauchen
einen Security-Fokus auf die Infrastruktur“,
fordert Rosendahl und mahnt
angesichts vermehrt auftretender gezielter
Angriffe auf bestimmte Unternehmen oder
hochrangige Mitarbeiter ein tieferes Verständnis
für das Monitoring und die Traffic-
Analyse innerhalb der Netze an.
Passwörter endlich abschaffen
Auch die Anbieter von Security-Lösungen
seien gefragt, mit zeitgemäßen Produkten
auf die sich verändernde Bedrohungslage
zu reagieren. Zu vieles sei noch auf einfache
Sicherheitsfragen im Web- und
E-Mail/Anti-Spam-Umfeld zugeschnitten.
„Wir brauchen neben der Sensibilisierung
der Mitarbeiter auch die richtigen Tools“,
fordert der Cisco-Berater. In Sachen Nutzerauthentifizierung
an Clients und Netzen,
egal ob mobil oder stationär, empfiehlt er:
„Die IT-Welt muss hier der klassischen
physischen Security endlich einmal
folgen.“ Türschlösser und Schlüsselpläne
gebe es seit Jahrzehnten,
so Rosendahl, der die per se unsichereren
Nutzername/Passwort-
Sean Sullivan,
Security Advisor, F-Secure Labs:
„Passen Sie besonders auf lokalisierte Versionen
bekannter Anwendungen auf und geben
Sie Acht, wenn Sie über Android
Ihre E-Mails nicht via Gmail abfragen.“
Szenarien endlich abschaffen möchte. Das
hält er mittelfristig für durchaus realistisch,
zumal die dafür nötigen technischen Standards
bereits jahrelang verfügbar seien.
In das gleiche Horn stößt Sergej Schlotthauer,
CEO des Lösungsanbieters Ego-
Secure: „Smartphones und Tablets sind aus
Security-Perspektive genauso zu behandeln
wie ein normaler Rechner.“ Es komme hier
jedoch noch viel mehr darauf an, die Daten
abzusichern respektive zu verschlüsseln,
damit sie nicht in falsche Hände gelangten.
Die Ver- und Entschlüsselung wiederum
müsse so einfach wie möglich gestaltet werden
– am besten als automatische Hintergrundaktivität.
Besser schlafen ohne Android
Dem Anwender die Verantwortung und die
Sorgen abnehmen – das ist derzeit das
bes-te Rezept für ein gewisses Sicherheitsniveau
im mobilen Umfeld, insbesondere
auf Android-Systemen. Nicht-Android-Nutzer
hingegen können noch ruhig schlafen.
Was die drei anderen mobilen Betriebssysteme
angeht, hält Trustwave-Experte
Hindocha die Gefahr für vernachlässigbar:
„Im iOS-Umfeld sehen wir nur Angriffsvektoren,
die die Plattform selbst angehen,
aber schon sehr alt sind. Für Windows
Phone 8 und Blackberry 10 haben wir noch
überhaupt keine Malware entdeckt.“ Hier
kommt es vielmehr darauf an, dass Anwender
nicht wissentlich oder unbeabsichtigt
Daten abfließen lassen, indem sie gefährliche
oder gehackte Websites besuchen und
sich durch Social Engineers und Phisher
über den Tisch ziehen lassen. o
*Simon Hülsbömer
shuelsboemer@computerwoche.de