DuD Datenschutz und Datensicherheit 3 | 2012 165

SCHWERPUNKT

1 Einleitung und Problemstellung

Viele Unternehmen untersuchen momentan inwieweit sie die ge-schäftliche Nutzung von privaten Smartphones und Tablets zu-lassen bzw. ermöglichen können. Die Zielsetzung kann hier er-staunlich viele Variationen haben, während die Motivationen meistens darauf basieren, dass sowohl die Geschäftsführung dies fordert, als auch wichtige und gute Mitarbeiter (z.B. Talen-te die gewonnen werden sollen) nicht darauf verzichten wollen. Die Schlagworte die in diesem Zusammenhang immer wieder fallen sind:

▶ „Bring Your Own Device“ – BYODund

▶ „Consumerization (of IT)“Im Grossen und Ganzen bezeichnen beide Begrifflichkeiten das gleiche Phänomen, wobei bei der sogenannten Consumerization auch noch weitergehend zu betrachten ist, dass hier Datenver-

arbeitungsinfrastruktur von anderen Anbietern, die der Benut-zer u.U. privat nutzt (z.B. Mailkonten, Speicher in der Cloud), für die Verarbeitung von Firmendaten zum Einsatz kommt. Mobi-le Geräte sind durch die, teilweise schon im Betriebssystem ver-ankerten, Anbindungen an solche Dienste natürlich eine Gefah-renquelle für den unkontrollierten Abfluss von Unternehmens-daten, als auch für den Einfall von Schadcode in die Unterneh-mensnetzwerke.

Im Folgenden soll ein kurzer Überblick über das Bedrohungs-potential und eine Bewertung der verfügbaren (technischen) Schutzmaßnahmen erfolgen.

2 Die Bedrohungslage

Das IT-Marktbeobachtungsunternehmen IDC prognostiziert für 2014 die Auslieferung von 819 Millionen Smartphones und 116 Millionen Tablet Rechnern. Dieses wird fast doppelt soviel sein wie geschäftliche und private PCs zusammen (IDC Studie World-wide Media Tablet Forecast 2011-2015, Oktober 2011 und World-wide Smartphone Forecast 2011-2015, März 2011) Vorausgesagt ist, dass die Mehrheit im Privatbesitz und nicht zentral verwaltet sein wird. Gleichzeitig steigt sowohl die Anzahl der verfügbaren Angriffe auf diese Plattformen als auch die Zielgerichtetheit der Attacken (Symantec Internet Security Threat Report).

2.1 Allgemein

Die Kopplung von mobilen Endgeräten nicht nur mit dem Fir-mennetzwerk sondern gleichzeitig auch mit dem heimischen PC, mindestens einem Clouddienst, sozialen Netzwerken kann als Grundlage für die Gefahr des unkontrollierten Datenabflusses

Thomas Hemker

„Ich brauche das!“ – Mobile Geräte im Unternehmenseinsatz

Übersicht über die Bedrohungslage und die Schutzmaßnahmen für die Verwendung geschäftlicher Daten auf (privaten) mobilen Geräten

Nicht nur Vorstandsmitglieder fordern oft von ihren IT-Abteilungen unbedingt den Zugriff auf Daten im Unternehmen von ihrem eigenen mobilen Endgerät aus zuzulassen. Diese Forderung nach so einem „Regelverstoß“ kommt immer mehr auch von der Masse der Mitarbeiter. Die IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten werden in diesem Szenario leider allzu oft als „Spielverderber“ wahrgenommen. Was kann man also tun? Eine Bestandsaufnahme.

Thomas Hemker

CISSP ist Security Strategist bei der Symantec (Deutschland) GmbH. Er arbeitet seit 1995 in der IT Sicherheit mit jahrelanger Spezialisierung im Bereich Verschlüsselung, kümmert sich nun aber um die ganzheitliche Sicht der Dinge und

deren technischer Umsetzung. Dies auch im TeleTrust, dem ISF, bei ISC2 und ISSA. Er ist Mitglied der Hamburger Datenschutzgesellschaft.E-Mail: Thomas_Hemker@symantec.com

166 DuD Datenschutz und Datensicherheit 3 | 2012

SCHWERPUNKT

gesehen werden. Je nach verwendetem System gibt es aber auch dedizierte Angriffe durch die Ausnutzung von Schwachstellen die geeignete Schutzmaßnahmen erfordern.

2.2 Aktuell

Angefangen mit den ersten SMS-Würmern in 2009 hat sich in den letzten Jahren Schadcode für mobile Plattformen entwickelt der in der Lage ist Bankdaten (z.B. mTANs) abzugreifen, teure Premiumdienste zu beauftragen oder Smartphones in Spionage-werkzeuge zu verwandeln. Gekoppelt mit Social Engineering At-tacken und der Verwendung von privaten Geräten im Unterneh-mensumfeld entsteht jedoch ein Gefahrenpotential für Daten und Infrastruktur und nicht nur für die privaten Geldbeutel eines Be-nutzers. Auch wenn die absolute Anzahl von Schadcode für mo-bile Plattformen noch klein wirken mag, so ist jedoch das Wachs-tum in diesem Bereich enorm. Gleichzeitig ist zusätzliche Schutz-technologie auf diesen Geräten so gut wie nicht verbreitet.

Werden in Zukunft mobile Geräte auch zu Authentifizierungs-zwecken und zum mobilen Bezahlen mittels neuer (berührungs-loser) Protokolle eingesetzt werden wird die Bedrohungslage sich sicherlich noch zuspitzen.

2.3 Motivation der Angreifer

Primär steht nach wie vor der kurzfristige finanzielle Vorteil der Angreifer durch das Stehlen von (privaten) Bankdaten und Beauf-tragung teurer Dienste im Vordergrund. Allerdings ändert sich dies gerade durch den beschriebenen Wandel in der IT-Land-schaft, da nun die mobilen Geräte ein Einfallstor in die Unter-nehmen sein können. Beispielsweise Wirtschaftsspionage kommt als Motivation also hinzu.

3 Schutzmaßnahmen

Von der organisatorischen Seite her sind die Aufnahme der mo-bilen Plattformen bzw. der darauf basierenden Geschäftsprozes-se und Bedrohungen in die Sicherheitsstrategie und Risikoanaly-se durchzuführen. Neben den betrieblichen Vereinbarungen und der Gewährleistung von betrieblichen und persönlichen Daten-schutz gilt ein besonderer Augenmerk der Schulung der Mitarbei-ter bezüglich des Risikos und des richtigen Verhaltens. Trotzdem ist es natürlich notwendig die Richtliniendurchsetzung nicht al-lein dem Benutzer zu überlassen sondern technische Maßnah-men zu ergreifen.

Ähnlich dem fließenden Übergang zwischen der privaten und betrieblichen Nutzung sollen im Folgenden Maßnahmen vorge-stellt werden, die sowohl im reinen Unternehmenskontext ange-siedelt sind aber eben auch dieses neue Nutzungsverhalten er-möglichen. Einzelne Lösungen (z.B. Software zum Schutz vor Angriffen) bietet sich natürlich auch für die reine private Nut-zung an.

3.1 MDM – Mobile Device Management

Das Systemmanagement für mobile Endgeräte wird mit dem Ak-ronym MDM bezeichnet. Es wird oftmals auch als grundlegen-der Sicherheitsmechanismus eingesetzt. Grundsätzlich kann man

hier von zwei Lösungsansätzen sprechen, die einen unterschied-lichen Funktionsumfang liefern.

Zum einen ist es möglich mit den vorhandenen Schnittstellen, mitgelieferten Konfigurationswerkzeugen oder verwendeten Syn-chronisationsmechanismen der Geräte einige Einstellungen auf dem Endgerät zu steuern. Eine weitere, umfassendere Möglich-keit ist es aber einen Agenten auf dem Smartphone oder Tablet zu installieren der von einer zentralen Stelle verwaltet wird. Mit die-sem Ansatz lassen sich erheblich mehr Funktionen und Einstel-lungen direkt auf dem Endgerät steuern. Wünschenswert ist hier-bei, dass dieses Systemmanagement sich in die Verwaltung ande-rer Systeme (PC, Server, etc.) integriert bzw. dass es sich idealer-weise auch um das gleiche System handelt. Eine Integration in die vorhandene Benutzerverwaltung (z.B. AD, LDAP) ist hier eben-falls mehr oder weniger selbstverständlich.MDM kann somit einige der Hauptprobleme der (System-)Sicher-heit lösen. Die wichtigsten sind hier kurz erläutert:

▶ Verwaltung der Geräte und ihrer Konfigurationen Einstellungen die normalerweise durch den Benutzer von Hand gemacht werden müssen können so zentral vorgenom-men und verwaltet werden. Desweiteren können sog. „Accep-table Use –Policies“ implementiert werden (z.B. „ge-jailbreak-te“ Geräte werden nicht zugelassen).

▶ Anwendungsmanagement Eigene App-Stores die durch das Unternehmen betrieben wer-den können für das Endgerät oder den Benutzer bereitgestellt werden. Allgemeine können gesperrt werden.

▶ Bereitstellung und ggf. Kontrolle von Inhalten Zugriffe auf Intranetressourcen, E-Mailkonten und andere In-halte können zentral eingerichtet und gesteuert werden.

▶ Separierung von geschäftlichen und privaten Daten Bei der BYOD-„Strategie“ kann ich somit zwischen privaten Daten und Unternehmensdaten auf dem Gerät (auch in einzel-nen Anwendungen) unterscheiden und kann so beispielsweise auch nur die Firmendaten (aus der Ferne) löschen. Hier spielt auch das Thema „Sandbox“ eine Rolle, welches im Folgenden noch erläutert wird.

▶ Durchsetzen von Richtlinien Die vorhandene Sicherheitsfunktionen und Einstellungen kön-nen hier zentral vorgegeben werden. Passwortlänge und –stär-ke sind hier Beispiele.

▶ Integration in die Unternehmensinfrastruktur Anbindung an die vorhandene Benutzerverwaltung (z.B. Aut-hentisierung) und das Rechtemanagement sowie die Einbin-dung in die Netzwerkinfrastruktur des Unternehmens.

▶ Diebstahlschutz Hier können über sogenannte „Remote Wipe“ Funktionen bei Verlust gesamte Geräte oder Inhalte auf den Geräten von zen-traler Stelle aus gelöscht werden. Ebenso kann das Auffinden von Geräten über die Nutzung von Geodaten des Geräts (u.U. ein Datenschutzthema) erleichtert werden.

Werden mit MDM viele Funktionen des klassischen Systemma-nagements für mobile Geräte verfügbar gemacht, so bleiben doch offene Fragen. Zum Beispiel müssen im Bereich Backup und Re-store Methoden und Strategien angepasst werden. Der BYOD Ansatz ist indes, trotz technischer Möglichkeiten der Trennung zwischen privater und beruflicher Nutzung, ein Problemfeld für den Datenschutz

DuD Datenschutz und Datensicherheit 3 | 2012 167

SCHWERPUNKT

3.2 Sandboxing

Das sogenannte „Sandboxing“ ermöglicht, dass bestimmte An-wendungen oder Daten abgeschirmt vom Rest des Systems in einem geschlossenen Bereich (Laufzeitumgebung) auf dem mo-bilen Endgerät verarbeitet, bereitgestellt oder gespeichert werden. In vielen Fällen ist dies, zumindest teilweise, auch eine Funktion, die MDM Lösungen anbieten.

▶ Separierung von Daten Derzeit die gängigste Methode betriebliche Daten auf privaten Geräten konform nutzbar zu machen. Es findet eine klare Tren-nung zwischen den Daten statt.

▶ Dokumente-Speicher Betriebliche Dokumente die in einer geschlossenen Umgebung bereitgestellt werden aber z.B. von den Standardanwendungen auf dem Gerät verarbeitet werden können.

▶ Isolation von Anwendungen Bestimmte (betriebliche) Anwendungen können in einer ge-schlossenen Umgebung Daten verarbeiten und können somit auch nicht auf private Daten zugreifen.

▶ Schutz Persönlicher Daten Kalender- und private Adressdaten werden in der gleichen An-wendung von betrieblichen Daten, auch was die Synchronisa-tion angeht, getrennt.

Beim Sandboxing handelt es sich um einen pragmatischen und auch in vielerlei Hinsicht funktionierenden Ansatz. Folgende Punkte gilt es dabei ebenfalls zu betrachten:

▶ Zukünftige Entwicklung Das Sandboxing wird in Zukunft durch neue Schnittstellen auf der einen Seite immer kleinteiliger und integrierter in die An-wendungen und auf der anderen Seite auch kontextspezifischer was Zugriff auf bestimmte Daten und Dienste angeht. Gerade im Bereich der sicheren Kollaboration gibt es einen Bedarf nach dynamischem Sandboxing.

▶ Virtualisierung Im engeren Sinne kein wirkliches Sandboxing aber es können eben auch z.B. ganze Desktop-Umgebungen oder einzelne An-wendungen in einer virtualisierten Umgebung (auch per Fern-zugriff) bereitgestellt werden. Eine Integration in die mobilen Anwendungen findet aber meist nicht statt, sorgt aber eben für eine komplette Trennung zwischen privaten und betrieblichen Daten und Umgebungen.

Grundsätzlich kann das Sandboxing helfen die Schutzziele aus Datenschutz- und Compliance-Anforderungen zu erfüllen. Hier hängt es jedoch sehr stark von der Integration in die vorhande-nen, akzeptieren Anwendungen und Betriebssysteme ab, ob die-se technische Maßnahme von dem Nutzer akzeptiert und damit zu einem sinnvollen Schutzmechanismus wird.

3.3 Schutz vor Angriffen

Wie oben erwähnt nimmt die Bedrohung der System-, Netzwerk und Datensicherheit für mobile Endgeräte und der angeschlos-senen Infrastrukturen zu. Dementsprechend werden auch hier bereits bekannte aber auch neue Technologien zur Gefahrenab-wehr benötigt.

▶ Anti-Malware Die Notwendigkeit einen Virenschutz zu installieren nimmt bei bestimmten offenen Betriebssystemen für mobile Geräte stark zu, wie auch der verfügbare Schadcode.

▶ SMS Spam Protection Die Abwehr von lästigem SMS-Spam als eingebaute Sicher-heitsfunktion um beispielsweise vor Premium-SMS-Kosten-fallen zu schützen.

▶ Browser Protection Diese Funktionen können Schadcode und netzwerkbasier-te Angriffe unter Ausnutzungen von Browserschwachstellen verhindern. Je mehr z.B. ein Tablet zum Websurfen eingesetzt wird, umso mehr bedarf es diesem Schutz.

▶ Anti-Theft Neben den MDM-Lösungen für den Diebstahlschutz kann zu-sätzliche Sicherheitssoftware hier ggf. noch weitergehende Si-cherheit, wie z.B. komplette Geräteverschlüsselung bieten.

▶ Whitelisting Ein Sicherheitskonzept, das eben nur bestimmte Anwendun-gen, Verbindungen und Zugriffe zulässt, welches aber sicher-lich in einem dynamischen Umfeld schwer zu verwalten ist. Reputationsbasierte Lösungen bieten hier flexiblere Ansätze.

▶ „Closed Shop“ Die Kombination aus mobiler Plattform (Geräte und Betriebs-system) mit einem Markt für Anwendungssoftware bei dem diese vor Bereitstellung durch den Anbieter überprüft und da-mit auch reglementiert wird. Im Gegensatz zu einem offenen System gibt es hier natürlich weniger Schadcode. Dies gilt nicht für sog. „ge-rootete“ oder „ge-jailbreakte“ Geräte, die wieder-um ein großes Sicherheitsproblem darstellen können.

3.4 Identitätsmanagement und Schutz von Identitäten

Mobile Endgeräte werden heute zunehmend selbst zur Authen-tisierung (z.B. mittels Softwaretoken für Einmalpasswörter auf dem Gerät) genutzt und andererseits laufen auf diesen Geräten Anwendungen, die eben diese Sicherheitsmechanismen nutzen sollen. Konsequenterweise werden diese teilweise schon in die Applikationen eingebaut oder aber man entschließt sich für den klassischen Ansatz der Trennung und benötigt einen anderen zu-sätzlichen Faktor. Durch die Verbreitung von neuen Schnittstel-len wie NFC (Near Field Communication) werden hier in Zu-kunft sicherlich noch neue Spannungsfelder entstehen.

▶ Starke Authentifizierung Die Heterogenität der Systeme und verwendeten Netzwerke und Dienste erfordert immer mehr die sichere Identifizierung des Benutzers und Zuweisung seiner Zugriffsrechte. Smart-card-Systeme sind im mobilen Bereich so gut wie nicht genutzt und andere Verfahren werden hier eingesetzt, um sowohl den Benutzer, als auch das Gerät zu authentisieren. Einmalpass-wortsysteme und Zertifikate auf den Geräten liefern hier für bestimmte Anwendungsfälle Lösungen.

▶ Sicherer Zugriff/VPN Die Funktion der verschlüsselten Verbindung zu einem Fir-mennetzwerk oder auf cloud-basierende Dienste gewährleistet zumindest den sicheren Datentransfer durch unsichere (Mobil-funk-) Netze. Auch hilft dieser Zugriff, um bestimmte Netz-werksicherheitsfunktionen für die mobilen Geräte bereitzu-stellen.

▶ Aktivierung und Bindung an ein Firmennetz Dies ist die Herausforderung insbesondere für agentenbasier-te Systeme (z.B. MDM). Wie kann die erste Installation die-ser Software und die Bindung an die Benutzerverwaltung des

168 DuD Datenschutz und Datensicherheit 3 | 2012

SCHWERPUNKT

Unternehmens erfolgen? In jedem Fall ist dies ein Prozess mit Benutzerinteraktion.

▶ Tokens, OTP, Zertifikate Das mobile Gerät selber kann als Teil einer Sicherheitsinfra-struktur dienen (s.o. als Softwaretoken für Einmalpasswörter) benötigt aber eben auch seinerseits Sicherheitsinfrastruktur in Form von PKI (Zertifikate und Schlüssel), um Sicherheitsfunk-tionen wie sichere Verbindungen und Anmeldung vom mobi-len Gerät aus zu gewährleisten. Das zentrale Ausrollen und die Verwaltung von solchen Zertifikaten ist auf mobilen Geräten momentan eher schwieriger als bei herkömmlichen PC – Be-triebssystemen.

▶ Federation Mobiler Zugriff auf (Firmen-) Ressourcen soll ja unter Um-ständen nicht einfach an ein bestimmtes Gerät oder einen be-stimmten Dienst gekoppelt sein und verlangt so nach einer Lö-sung bei der Identitäten durchgängig verfügbar sind, um Nut-zer sich anmelden zu lassen. Offene Standards und der Ab-gleich mit den Schnittstellen der Mobilfunkplattform sind hier wichtig.

Die zentrale Verwaltung von Identitäten dient letztendlich der Durchsetzung von Richtlinien und der Rechteverwaltung bezüg-lich des sicheren Zugriffs auf Daten. Die Zuordnung kann hier basierend auf Dienst, Gerät, Anwendung oder Datum erfolgen.

3.5 Schutz von Information

Die Reduzierung von Datendiebstahl bzw. dem unkontrollier-ten Abfluss von Information wird zunehmend mehr Bedeutung beigemessen. Dieses besonders vor dem Hintergrund, dass es in einer Welt mit vielen verschiedenen Geräten und Infrastrukturen immer wichtiger wird, die Sicherheitsmechanismen näher an das Objekt, welches es zu schützen gilt (meistens personenbezogene Daten oder geistiges Eigentum), zu bringen. Dieses erlaubt dann auch eine gewisse Unabhängigkeit vom verwendetem System und Dienst und man kann Sicherheitsziele auch bei neuen Geräten und Strukturen schneller durchsetzen. Verschlüsselte Daten blei-ben dann eben auch beim Transfer oder Speicherung in der Cloud verschlüsselt. Folgende Mechanismen sind Bestandteile dieses in-formationszentrischen Sicherheitsansatzes:

▶ DLP – Data Loss oder Leakage Prevention Diese Lösungen sind dazu da auf Basis eines bestimmten Re-gelwerks Daten zu erkennen, zu klassifizieren und weitere Schutzmechanismen (u.a. Verschlüsselung) zuzuweisen oder bestimmten Datenverkehr zu blocken. Technisch sind heut-zutage noch Lösungen, die direkt auf dem mobilen Endgerät als Agent arbeiten rar. Stattdessen wird hier der Weg gewählt durch erzwungene VPN-Netzwerkverbindungen (z.B. durch MDM) den Datenverkehr über Gateways zu lenken, die dann die DLP-Funktionen bereitstellen können.

▶ Web und Netzsicherheit Im Sinne eines Monitoring und der Kontrolle des Zugriffs auf

bestimmte Daten und Inhalte im Unternehmensnetzwerk auf Basis des verwendeten Endgeräts.

▶ Verschlüsselung von Daten Der Schutzmechanismus für Daten wenn sie in unsicheren Netzwerken und Infrastrukturen gesendet oder gespeichert werden. Zur Bearbeitung der Daten am Endgerät wird aber meist zusätzliche Ver- bzw. Entschlüsselungssoftware benötigt, die nicht immer nahtlos in die vorhandenen mobilen Anwen-dungen und Betriebssysteme integriert werden können. Mitt-lerweile wird aber schon oftmals zumindest S/MIME von den mobilen Mailanwendungen für verschlüsselte E-Mail unter-stützt als auch Geräteverschlüsslung angeboten.

Man sieht also, dass es sich bei vielen Sicherheitsmechanismen durchaus um etablierte Technologien handelt, die nun auf mo-bilen Plattformen nutzbar gemacht werden müssen. Hinzu kom-men neue Lösungen in den Bereichen Anwendungsvirtualisie-rung und Sandboxing. Die technische Umsetzung der Schutzzie-le geschieht in diesem Sinne nicht nur auf dem Endgerät selber, sondern besteht aus einem Zusammenspiel zwischen Netzwerk-, Daten- und Gerätesicherheit.

Der fließende Übergang zwischen der privaten und betriebli-chen Nutzung erfordert aber nicht nur eine technologische Rea-lisierung von Sicherheit, sondern natürlich die organisatorische Durchsetzung, sowie ein klares Bewusstsein auf der Anwender-seite über das Gefahrenpotential.

4 Fazit

Immer mehr Angriffe werden verfügbar für mobile Plattformen. Diese werden auch genutzt, um gezielt nicht nur die mobile Platt-form selbst, sondern auch die damit verbundenen Infrastruktu-ren und Daten anzugreifen.

Wir bewegen uns hier weg von der reinen PC Landschaft mehr zu einer von mobilen Endgeräten geprägten Nutzung von priva-ter und geschäftlicher Information. Die Gleichzeitigkeit dieser Nutzungen auf einem Gerät ist durch den Anwender gewollt und muss wohl zwangsläufig sinnvoll und sicher eingerichtet werden. Wichtig ist zudem die Betrachtung ob man mit Richtlinien nur für ein Endgerät in jedem Fall erfolgreich ist oder ob man hier vielmehr Richtlinien per Identität und verwendeter Information durchsetzen muss.?

Wie sonst will man auf die schnelle Veränderung in der Gerä-telandschaft reagieren?

Wie sonst kann man die sichere Nutzung von Daten in vielen verschiedenen Umgebungen gewährleisten?

In diesem Sinne ist das Thema Mobile untrennbar mit dem Thema Cloud-Computing verbunden und bedarf daher einer ganzheitlichen Sicherheitsbetrachtung. Mobile Device Manage-ment kann hier nur ein Baustein nicht aber der alleinige Sicher-heitsansatz sein. Vielmehr benötigt man eine Sicherheitsstrategie, die neben dem Schutz von Geräten und Infrastruktur vor allem den Schutz der Information (respektive der Daten) im Fokus hat.