Dass heute ein spezieller Fokus auf die Sicherheit von mobilen Geräten gelegt werden muss, haben wir bereits in den beiden vorangehenden Texten der Serie «Mobile Sicherheit» erläutert. Laptop, PDA oder Smartphone sind heute nämlich nicht mehr aus dem Business-Umfeld wegzudenken. Wir haben auch auf bestehende und kommende Gefahren hingewiesen. In einem abschliessenden Teil widmen wir uns nun noch einem Thema, das mit den beiden Vorgängern («Datenverschlüsselung auf mobilen Geräten» und «Handy-Viren: Nur ein Hype?») zusammenhängt, dem Schutz vor ungewollten Zugriffen.
Gefährlich wird es mit mobilen Geräten, sofern man sie nicht verliert oder sie sich stehlen lässt, vor allem beim Zugang ins Internet, insbesondere wenn man damit einen Fernzugriff ins Firmennetz herstellt. Wie man heute mobil ins Internet geht, haben wir Ihnen ebenfalls bereits in einer unserer letzten Ausgaben (InfoWeek Nr. 9, Schwerpunkt «Internet Access») erklärt. Den Zugang ins WWW stellt man unterwegs aktuell meistens via Mobilfunknetz (HSPA, UMTS & Co.) oder via einen Hotspot (Public WLAN) her.
Die Gefahr im PWLAN ist einerseits bedingt dadurch, dass es, wie alle anderen Funknetzwerke, als «Shared Medium» aufgebaut ist. Das heisst, mehrere User teilen sich gleichzeitig dasselbe Netz. Man ist also, auch weil man in den meisten Fällen mit einer öffentlichen IP unterwegs ist, für andere sichtbar und damit offen für alle Arten von Angriffen.
Während man, einmal angenommen, man hat am Gerät im Voraus keine Schutzmassnahmen getroffen, im Mobilfunknetz durch SIM-Karte und Netzbetreiber geschützt ist, so ist man das an Hotspots häufig nicht. Denn eine weitere Schwäche liegt darin, dass sie oft möglichst benutzerfreundlich sein wollen und daher kostenlos sowie frei, das heisst unverschlüsselt, zugänglich sind.
Eine weitere, weitverbreitete Kommunikationslösung unter mobilen Geräten ist Bluetooth. Über dessen Sicherheit entscheidet der Hersteller des Geräts, denn das Protokoll der Übertragungstechnologie ist relativ offen. Prinzipiell unterscheidet man in der Praxis zwischen zwei Anwendungsbereichen: der Koppelung zweier Geräte (z.B. Headset oder Freisprechanlage) und dem Einsatz als Netzwerkverbindungsmöglichkeit.
Ob durch Bluetooth, WLAN oder anderweitig angegriffen: Wer Opfer von Hackern geworden ist, kann sich ohne eigenes Wissen Schadsoftware eingefangen haben. Diese kann, beim Wiedereintritt in das kabelgebundene Firmennetzwerk, auf zwei Arten gefährlich werden: Einerseits können sich Viren, Trojaner oder andere Malware im Netz weiter verbreiten. Weitaus gefährlicher ist es aber, wenn die drahtlose Netzwerkverbindung weiterhin aktiv ist. Ein Hacker könnte dann das entsprechende Notebook oder Handy quasi als Router nutzen und so ins Firmennetzwerk gelangen.
Für die vorgängig beschriebenen Szenarien und die erwähnten, möglichen Gefahrenquellen gibt es heute natürlich bereits gute Schutzmassnahmen. Mobilfunknetz- oder Hotspot-Anbieter wie
T-Mobile oder Swisscom bieten spezielle Softwarepakete dafür an. Grundsätzlich ist allerdings auf allen mobilen Geräten, die geschäftlich gebraucht werden, eine gut konfigurierte Firewall Pflicht.
Zugriffe ins Firmennetzwerk sollten zusätzlich nicht einfach so via Internet und Hotspot erfolgen. VPN (Virtual Private Network) lautet dafür das Schlagwort der Stunde. Die Technologie, in der ein verschlüsselter Kanal vom Laptop in die Firma benutzt wird, dürfte bestens bekannt sein. VPN-Clients werden heute ebenfalls von den meisten Netzanbietern angeboten und können beispielsweise bei der Swisscom auf deren PWLAN-Webseite sogar direkt heruntergeladen werden.
Weiter kann die Sicherheit durch eine verstärkte Authentisierung des Anwenders erweitert werden. Und angenommen, trotz allem kommt es zu einem Einbruch auf den Laptop, dann wäre eine vorhergehende Datenverschlüsselung gut.
Wie immer, wenn es um Sicherheit geht, nützen natürlich all diese Schutzlösungen nichts, wenn auch nicht gewisse Verhaltensregeln eingehalten werden. Regelmässige Software- und Virenschutz-Updates sind hier nur ein Thema. Viel mehr sollte man auf die Deaktivierung nicht benötigter Verbindungen achten, auf mobilen Geräten so weit wie möglich sparsam mit vertraulichen Daten arbeiten und wachsam sein. Das gilt ganz besonders beim Surfen im öffentlichen WLAN, wo man zusätzlich vorzugsweise bekannte Provider berücksichtigt. Aber man sollte unterwegs natürlich zuerst schauen, dass einem niemand direkt in den Bildschirm sieht. Denn so würden alle Vorsichtsmassnahmen nichts nützen und der Angreifer ganz einfach zu seinen Informationen kommen.
Unternehmen sollten für den Umgang mit mobilen Geräten, sofern nicht bereits vorhanden, auf Rat von Security-Spezialisten unbedingt Richtlinien erstellen. Darin müsste, neben Anmerkungen dazu, was für geschäftliche Dinge damit zu tun oder zu lassen sind, auch der Umgang mit mobilen Verbindungsmöglichkeiten geregelt sein. Da stellen sich Fragen wie: Ist der Zugang via Hotspots Business-kritisch? Wenn ja: Was muss man beachten? Antworten darauf sollten dazu beitragen, vor fremden Zugriffen geschützt zu sein, wobei ein umfassender Schutz natürlich nie garantiert ist.
· Auch auf mobilen Geräten eine Software-Firewall verwenden und diese richtig konfigurieren
· Wenn möglich verschlüsselt kommunizieren, zum Beispiel via VPN
· Nicht genutzte Verbindungen immer trennen
· Wachsam sein, vor allem in öffentlichen Netzwerken
· Betriebssystem und Anti-Viren-Software immer aktuell halten
· Verschlüsselung der Daten, wenn doch etwas passieren sollte
