Kritische Daten sind heute auf Laptop, PDA und Smartphone allgegenwärtig und stellen oft die Sicherheitsstandards der mittlerweile gut gesicherten Unternehmensnetze auf den Kopf. Mit Mobile Computing verschiebt sich der klassische Perimeter: Das Bild des IT-Mittelalters mit Burg, Torwächter und Wassergraben weicht definitiv der neuen IT-Ordnung mit Daten und Geräten «anywhere at anytime». Es ist nicht mehr sinnvoll, sich auf den alleinigen Schutz der internen Firmenumgebung zu konzentrieren. Daten sind heute immer und überall abrufbar.
Die mobilen Geräte und mit ihnen die Verteilung der Informationen sind gleichzeitig vielschichtigen Sicherheitsrisiken ausgesetzt. Verlust, Diebstahl oder Defekte bedeuten, dass Businessapplikationen und -informationen nicht mehr zur Verfügung stehen. In schwerwiegenden Fällen kann es sogar zu Datenverlust oder Datendiebstahl kommen. Die Kommunikation in unsicheren und fremden Netzwerken birgt Gefahren von Viren, Trojanern, Spionage und Hackerattacken.
Im Gegensatz zur Büroinfrastruktur sind die internen Schutzmassnahmen in mobilen Geräten nur beschränkt nutzbar. Bedienungsfehler wie auch Verstösse gegen Sicherheitsvorschriften sind öfter anzutreffen als im Büronetzwerk. Vertrauliche Information landen aus Bequemlichkeit oder Unwissenheit auf diversen mobilen Geräten, und ohne besondere Schutzvorkehrungen sind diese Daten oft ungenügend geschützt. Die rasante Entwicklung von neuen mobilen Geräten mit unterschiedlichen Betriebssystemen und Standards sowie die Vielfalt verschiedener Hersteller erschweren ein effizientes Gerätemanagement und einheitliche Softwarestandards.
Der Datenschutz auf Notebooks, PDAs und Smartphones ist ohne besondere Sicherheitsmassnahmen nicht ausreichend. Insbesondere Notebooks lassen sich jedoch mit den heutigen technischen und organisatorischen Werkzeugen gut schützen. Es ist allerdings erschrekkend, wie viele Firmen die mobilen Geräte nicht als schützenswert betrachten, ihren Einsatz uneingeschränkt zulassen und auf spezielle Schutzmassnahmen verzichten.
Dabei wären die nötigen Massnahmen in den meisten Fällen recht einfach zu realisieren. So ist einer der wesentlichsten Punkte die Reduktion der unterschiedlichen Geräte auf ein Minimum. Bei Notebook, PDA oder Smartphone empfiehlt es sich, möglichst einheitliche Geräte- und Softwareversionen einzusetzen. Die Sicherheit für Standardkomponenten lässt sich so einfacher umsetzen. Auch lassen sich die bestehenden Restrisiken besser einschätzen und kalkulieren.
Die eingesetzten mobilen Arbeitsgeräte gehören – wie auch der PC am Arbeitsplatz – in den Besitz der Firma. Somit lassen sich Gerätetyp, Administratorenrechte und Einsatzgebiet einfacher vorschreiben und umsetzen. Mit einer zentralen Sicherheits-Policy über das Active Directory lassen sich Sicherheitseinstellungen verwalten und von zentraler Stelle auf die mobilen Geräte verteilen.
Im Hinblick auf einen möglichen Verlust oder Diebstahl ist auch den auf praktisch jedem geschäftlich genutzten mobilen Gerät zu findenden kritischen Geschäftsdaten und Netzwerkkonfigurationseinstellungen wie Zugangscodes Aufmerksamkeit zu widmen. Unabhängig vom eingesetzten mobilen Gerät empfiehlt sich eine vollständige Datenverschlüsselung der Festplatten und Speicherkarten. Die Authentisierung per PIN-Code reicht dabei nicht aus. Ein starkes Passwort oder eine starke Authentisierung sind auf jeden Fall zu verwenden. Die Pre-Boot-Authentisierung hilft bei vollständiger Harddiskverschlüsselung, sodass sämtliche Daten für Dritte nicht mehr lesbar sind. Dieser effektive Schutz ist auch bei der Entsorgung mobiler Geräte von grossem Nutzen, werden doch Daten oft nicht korrekt gelöscht und auf diesem Weg quasi veröffentlicht.
Direkte Internetverbindungen ohne VPN sind potentiell immer gefährlich und sollten deshalb vermieden werden. Es empfiehlt sich, dabei sämtliche Fremdverbindungen (ADSL, WLAN, Modem, EDGE, UMTS und GPRS) gleich zu betrachten: Jedes öffentliche IP-Netzwerk birgt Gefahren. Um sich davor zu schützen, reicht eine verschlüsselte Verbindung über VPN (SSL oder IPSEC) zum Firmennetzwerk. Dabei ist darauf zu achten, dass der gesamte Datenfluss des mobilen Gerätes über den VPN-Tunnel in den Perimeter des Firmennetzwerkes fliesst und firmeneigene Netzwerksysteme die Kommunikation kontrollieren.
Neben der sicheren VPN-Verbindung ist eine Personal Firewall sinnvoll. Diese ist so einzustellen, dass nur die sicheren Verbindungen in und aus dem Gerät zugelassen werden. Ausserdem ist darauf zu achten, dass die Policy zentral auf die Laptops verteilt werden kann.
Nach wie vor eine Herausforderung ist die zuverlässige Erkennung des eigenen Firmen-LANs. Personal Firewalls erkennen anhand der IP-Adresse das interne und vertrauenswürdige Netzwerk und ermöglichen uneingeschränkten Zutritt. Oft sind dieselben privaten IP-Adressen des Firmennetzwerkes (z.B. der 192.168.x.x-Bereich) aber auch in Hotels, WLAN-Hotspots, ADSL-Routern und anderen fremden Netzwerken im Einsatz. Abhilfe schafft hier ein Authentisierungsmechanismus mit logischer und eindeutiger Kennung eines Systems im LAN unabhängig von dessen IP-Adresse.
Gleichzeitig muss man aber auch Multinetzwerkverbindungen vermeiden. Die Gefahr, dass ein mobiles Gerät im LAN oder am PC durch eine zweite externe Verbindung via WLAN, UMTS, GPRS etc. die Perimetersicherheit überbrückt, ist allgegenwärtig. Diese Netzwerkdienste lassen sich mittels Scripts oder Zusatzsoftware deaktivieren.
Sichere Verbindungen und eine Firewall nützen allerdings wenig, wenn ein mobiles System von Viren und Würmern kompromittiert werden kann. Virenschutz mit regelmässigen Pattern-Updates ist deshalb auch auf jedem mobilen Gerät unumgänglich. Moderne Virenschutzprogramme laden bei abgelaufenem Viren-Pattern zuerst die neusten Signaturen über das Netz herunter, bevor eine andere Netzwerkverbindung von Laptops überhaupt ermöglicht wird. Somit ist sichergestellt, dass mobile Geräte mit längerer Netzwerkabwesenheit keine Bedrohung für interne Netzwerke sind.
Beim Thema Push-E-Mail und PIM-Synchronisation sind einige Sicherheitsüberlegungen besonders zu beachten. Die mobilen Geräte greifen dabei auf Kontakte, Termine, Informationen und insbesondere auch auf interne
E-Mails zu, was das Gefahrenpotential vervielfacht. Deshalb sind auch bei diesen Lösungen die bereits genannten Empfehlungen weitmöglichst einzuhalten.
Alle diese Systeme funktionieren über einen Gateway zwischen mobilem Gerät und internem Mail/Groupware-Server. Lösungen, welche vom Mobile Gateway zum internen Mailserver Administratorenrechte benötigen, sind zu meiden. Bessere Lösungen bieten Schnittstellen zwischen Gateway und Mailserver über Standardprotokolle wie IMAP, SSL und LDAP, die mit einfachen Benutzerrechten und starken Authentisierungsverfahren auf die Daten zugreifen.
Was für Daten zunehmend selbstverständlich wird, ist für GSM-Telefongespräche bisher noch kaum umgesetzt. Dabei sind auch mobile Telefongespräche «vertrauliche Daten» und es besteht die Gefahr, dass solche zwecks Spionage oder für die Erlangung von Wettbewerbsvorteilen abgehört werden. Mit speziellen GSM-Verschlüsselungshandys lassen sich auch GSM-Gespräche vollständig und sicher verschlüsseln.
Ob all der Massnahmen für die Absicherung von Verbindungen und dem Schutz der Daten auf dem Gerät ist aber eine der häufigsten Ursachen für Datenverlust nicht aus den Augen zu verlieren: Auch von mobilen Daten müssen regelmässig Backups angefertigt werden. Dabei ist insbesondere darauf zu achten, dass sowohl mit wie auch ohne Netzwerkverbindung veränderte Daten gespeichert und bei zugänglicher Netzwerkverbindung mit dem Firmen-Backupsystem abgeglichen werden.
Philip Klomp ist Geschäftsführer der Nomasis AG.
