Angriffe auf Smartphones nehmen stetig zu, und Unternehmen müssen effektive Sicherheitskonzepte einsetzen, um ihre Mitarbeitenden und Daten zu schützen. Dennoch vernachlässigen selbst grosse Unternehmen das Thema sträflich.
Leichtes Ziel für Angreifer
Zwar haben viele Organisationen für die Verwaltung der Endgeräte bereits Lösungen implementiert. Diese bieten aber lediglich einen marginalen Grundschutz, der gegen die häufigsten Angriffsarten nicht ausreicht. Dazu gehören Phishing, Malware und Spionage auf Smartphones. Die Angreifer wissen sehr gut, dass Smartphones ein leichtes Ziel sind, denn neben dem mangelnden Schutz gehört der Umgang der Menschen mit Smartphones zu den Gründen. Nutzerinnen und Nutzer sind sehr häufig mit ihren Handys im Internet unterwegs und verhalten sich dabei tendenziell fahrlässiger als am Computer.
Tiziano Bacciarini ist Product and Services Manager bei Nomasis, einem Unternehmen für Mobile Security.
Unternehmen mit fortgeschrittener Sicherheitsinfrastruktur haben für den Bedrohungsfall Handlungsszenarien für Laptops und PC implementiert und können kompromittierte Geräte schnell ausser Betrieb nehmen und neu aufsetzen. Nun können Mitarbeitende zwar kurzzeitig auch ohne ihr Laptop auskommen, vom Smartphone hingegen ist man in vielen Situationen schlichtweg abhängig. Man denke nur etwa an den Fall, dass nach einem Phishing-Angriff Mitarbeitende zum Beispiel schon Probleme hätten, im Ausland ein Uber zu bestellen oder ihr Flugticket vorzuweisen, geschweige denn Geschäftsprozesse damit abzuwickeln, da immer mehr Dokumente und Dienste auf dem Handy gespeichert sind.
Unterstützung im Notfall oft ungenügend
Für Smartphones gibt es in der Regel noch keine adäquaten Massnahmen, die den Bedürfnissen der Nutzenden und des Unternehmens vollumfänglich entsprechen. Denn die Mitarbeitenden in den Supportabteilungen sind nicht für Problemfälle mit Smartphones instruiert. Dafür braucht es spezielles Wissen für die verwendeten Schutzsysteme. Unternehmen hinken mit Schulungen hinterher oder verfügen nicht über die nötigen Sicherheitsrichtlinien, welche die Handhabung der Geräte regeln – etwa was verbotene Apps oder das Sperren gefährlicher Webseiten angeht. Meist fehlt es den Support-Abteilungen am Wissen, infizierte Smartphones im Notfall genauso schnell wieder unschädlich und betriebsbereit zu machen wie Rechner.
Wenig geschützt
Die Tools, mit denen Unternehmen ihre Smartphone-Flotten verwalten, bringen zwar einen gewissen Schutz mit. Aber vor Missachtung der Policy-Richtlinien und Verhinderung von Phishing sind die Handys so gut wie nicht geschützt, es fehlt weitgehend an erweiterten Schutzprogrammen wie MTD-Lösungen (Mobile Threat Defense). Diese müssen denn auch nicht nur auf den mobilen Geräten ausgerollt sein, sondern auch von Profis überwacht werden.
Weil Unternehmen oft keine Administratoren und Supportleute für MTD beschäftigen, werden solche Services an externe Spezialisten ausgelagert. Aber egal, ob der Schutz in der eigenen Support-Abteilung oder durch Dritte gewährt wird, es geht immer auch darum, für die unterschiedlichen Anwendungs- und Bedrohungsfälle Playbooks zu erstellen, indem Abläufe, Verantwortlichkeiten und Rollen klar definiert werden. Mitglieder der Support-Teams müssen umgehend reagieren können und deshalb mit ihren Aufgaben vertraut sein und wissen, wofür sie bei einem Vorfall verantwortlich sind.
Drohende Schäden sind enorm
Mit spezifischen Schulungen der Mitarbeitenden zur Steigerung des Bewusstseins für die Bedrohung ihrer mobilen Geräte könnten viele Angriffe abgewendet werden. Allerdings ist damit keine Garantie gegeben, denn Menschen verbringen immer mehr Zeit mit ihren Smartphones im Netz, die Angriffe werden ausgeklügelter. Die Folgen eines Angriffs können sehr hohe Kosten verursachen.
Verglichen mit der drohenden Beeinträchtigung der Geschäftstätigkeit, möglichem Datenverlust und Diebstahl von geistigem Eigentum sind die Kosten für die nötigen Services minimal. Unternehmen sollten deshalb nicht nur für PC und Laptops, sondern auch für Smartphones wirksame Schutzmassnahmen gegen Cyberangriffe implementieren. Dazu bedarf es in erster Linie das Bewusstsein der Sicherheitsverantwortlichen, die nötigen Systeme und Supportabläufe nicht nur für Netzwerke und stationäre Infrastruktur, sondern auch für Smartphones einzuführen.