Mobile Device ManagementWildwuchs von Apps vermeiden

Viele Unternehmen wissen nicht, welche Apps sich auf den mobilen Geräten befinden, die ihre Mitarbeiter an den Arbeitsplatz mitbringen. Sie können daher auch den Risiken, die von solchen unkontrollierten Apps ausgehen, nicht wirksam begegnen. „Bring Your Own Device“ (BYOD) gehört zu den wichtigen IT-Trends der letzten Zeit, denn Mitarbeiter bringen immer öfter ihre eigenen Smartphones und Tablets mit an den Arbeitsplatz und verwenden sie dort für berufliche Aufgaben. So kommt etwa eine repräsentative Umfrage unter Arbeitnehmern im Auftrag des Hightech-Verbands BITKOM zum Ergebnis, dass 40 Prozent der Arbeitnehmer ihr eigenes Gerät zumindest gelegentlich für ihre Arbeit einsetzen.

War es vor wenigen Jahren noch üblich, dass Unternehmen ihren Mitarbeitern Firmen-Handys und -Notebooks zur Verfügung stellten und diese so Einzug ins private Umfeld der Anwender hielten, ist es heute genau umgekehrt: Mitarbeiter bringen ihre privaten Tablets oder Smartphones mit ins Büro – und damit auch ihre eigenen Applikationen, die sie häufig für geschäftliche Zwecke nutzen.

Unternehmen ist die Nutzung mobiler Applikatonen gar nicht so unrecht, wie die vom IT-Sicherheitsunternehmen Symantec in Auftrag gegebene Studie „State of Mobility 2012“ zeigt. Danach denken fast zwei Drittel der befragten IT-Verantwortlichen darüber nach, ihren Mitarbeitern maßgeschneiderte mobile Applikationen bereitzustellen. Von dieser Strategie versprechen sich die Unternehmen eine Reduzierung der Komplexität und Kosten sowie eine zusätzliche Produktivität ihrer Mitarbeiter. Immerhin: Für 41 Prozent der Befragten stellen mobile Lösungen nicht nur ein großes Produktivitätspotenzial dar, sondern zählen auch zu den drei größten Sicherheitsrisiken.

Denn: Viele Anwendungen können sich schnell als Compliance-Killer erweisen, wenn sie die Sicherheit und Integrität der Unternehmensdaten gefährden. Das gilt schon für vermeintlich simple Apps. Nicht nur das auf jedem Smartphone oder Tablet vorhandene Kontaktverzeichnis, sondern auch ein Terminkalender oder ein Routen-Tracker erlauben das Auslesen der Daten durch Unbefugte. Die können dann Rückschlüsse auf Kundenkontakte oder Vertriebsaktivitäten ziehen.

Viele Nutzer verwenden beispielsweise anstelle von SMS den Nachrichtendienst WhatsApp. Schon Ende 2012 gab es hier eine Sicherheitslücke, durch die Unbefugte Nutzer-Accounts übernehmen konnten. Damit nicht genug: Der Instant-Messenger fiel in der Folgezeit durch weitere gravierende Sicherheitslücken auf. So konnten beispielsweise auch PayPal- und Google-Konten ausspioniert werden, und Chat-Verläufe von Nutzern des mobilen Apple-Betriebssystems iOS wurden unverschlüsselt in Apples iCloud gespeichert.

Ein weiteres Beispiel: Smartphones von BlackBerry. Anfang 2014 versagte hier eine Sicherheits-Policy, die geschäftliche Kontakte vor Zugriffen durch persönliche Apps schützen soll. Durch die Schwachstelle wurden den persönlichen Apps des Betriebssystems Android Namen und Telefonnummern zugänglich gemacht, was BlackBerry eigentlich verhindern wollte.

Unternehmen kommen deshalb nicht umhin, ein umfassendes Management aller mobilen Geräte (Mobile Device Management) einzuführen, um einen Wildwuchs mobiler Applikationen zu verhindern. Denn: Die traditionelle Verwaltung von Endgeräten funktioniert nicht mehr, wenn Mitarbeiter immer häufiger eigene Hardware ins Firmennetz einbringen. Das Management mobiler Geräte wie Smartphones oder Tablets umfasst folgende Maßnahmen:

• Erfassen aller Geräte
• Gewährleistung der Aktualität von Software und Daten auf den Geräten
• Schutz der Unternehmensdaten auf den Geräten

Potenzielle Risiken, die von Apps ausgehen, können also erst dann beurteilt werden, wenn Unternehmen die beruflich genutzen Apps ihrer Mitarbeiter kennen. Voraussetzung ist deshalb ein umfassendes Assessment von Geräten und Apps. Nur so lässt sich ein konsistentes Mobile Device Management durchführen und entscheiden, welche Apps harmlos, welche riskant und welche gefährlich sind. Die Realität sieht in vielen Unternehmen jedoch anders aus, wie eine Studie von Absolute Software, einem Anbieter von Lösungen zur Verwaltung und zum Schutz von Computern und mobilen Geräten unter 300 CIOs, IT-Direktoren und IT-Managern ergeben hat. Danach wissen die meisten Unternehmen nicht, welche Apps überhaupt in Gebrauch sind.

Erst wenn bekannt ist, welche Apps überhaupt für Unternehmenszwecke eingesetzt werden, lässt sich eine Beurteilung der Sicherheitsrisiken vornehmen. Doch wie können Unternehmen wissen, welche Apps unbedenklich genutzt werden können und welche nicht? Eine Möglichkeit sind Prüfsiegel. Diese Zertifikate werden mittlerweile von der Stiftung Wartentest, mehrerer TüV-Gesellschaften oder dem Unternehmen Media Test Digital vergeben. Letzteres vergibt das Prüfsiegel „Trusted App“. Um diese Zertifikate ausstellen zu können, werden die Apps umfangreichen Sicherheitstests unterzogen. Diese können folgende Bereiche abdecken:

• Selbstauskunft des Herstellers
• Übereinstimmung der Datenverarbeitung mit den Normen des Bundesdatenschutzgesetzes (BDSG)
• Funktionalität und Benutzerfreundlichkeit
• Verschlüsselung sensibler Daten
• Unnötig erhöhter Umfang der zu versendenden Informationen

Nach Angaben von Media Test Digital verschärft sich die Zahl der Sicherheitsprobleme in Apps für Smartphones und Tablets deutlich. Bei gut der Hälfte aller getesteten Apps – unabhängig vom Betriebssystem – seien Sicherheitsrisiken aufgedeckt worden. „Insgesamt verzeichnen wir momentan einen deutlichen Anstieg problematischer und schadhafter Apps über alle mobilen Betriebssysteme hinweg“, erläutert Wulf Bolte, technischer Leiter von Media Test Digital, in einer Presseinformation.

Trotz der Bemühungen vereinzelter App-Entwickler zu mehr Datenschutz und Datensicherheit fehlt Apps häufig die Transparenz, was den Umgang mit personenbezogenen Daten und erhobenem Nutzungsverhalten angeht. Zudem wird Datensammlern die Arbeit durch ein fehlendes Bewusstsein der Smartphone-Nutzer zum Wert und der Sensibilität ihrer Daten erleichtert. Werden Apps nicht zentral überwacht, führt das Herunterladen aus den entsprechenden Stores unweigerlich zu potenziellen Angriffen auf sensible Unternehmensdaten. Eine Überwachung beziehungsweise ein App-Management sollte aus folgenden Komponenten bestehen:

• Prüfung der Applikationen auf schädliche Codes
• Begrenzung der Rechteeinräumung durch die Nutzer
• Regelung der Zertifizierungs- und Authentifizierungsprozesse im mobilen Systemumfeld
• Löschungsmöglichkeit der Daten, auf die ein Endgerät zugreift

Moderne Managementsysteme gewährleisten zum Beispiel die administrative Trennung geschäftlicher und privater E-Mail-Konten. Scheidet ein Mitarbeiter aus dem Unternehmen aus, wird der geschäftliche Account gelöscht, während die privaten Accounts unberührt bleiben.

Ein zentrales Management aller mobilen Geräte im Unternehmen ist unabdingbar, um Sicherheitsrisiken wie etwa „Jailbreaking“ – das nicht-autorisierte Entfernen von Nutzungsbeschränkungen – bei iOS-Geräten oder „Geräte-Rooting“ bei Android-Systemen zu vermeiden. Doch die Verwaltung der mobilen Geräte muss die Nutzerfreundlichkeit im Blick haben. Das heißt: Strenge administrative Maßnahmen dürfen die Nutzung von Smartphone und Tablet nicht derart einschränken, dass am Ende frustrierte Mitarbeiter übrig bleiben, die in der Nutzung der mobilen Geräte keinen Sinn mehr sehen.