Unbekannt soll draussen bleiben

Dass heute ein spezieller Fokus auf die Sicherheit von mobilen Geräten gelegt werden muss, haben wir bereits in den beiden vorangehenden Texten der Serie «Mobile Sicherheit» erläutert. Laptop, PDA oder Smartphone sind heute nämlich nicht mehr aus dem Business-Umfeld wegzudenken. Wir haben auch auf bestehende und kommende Gefahren hingewiesen. In einem abschliessenden Teil widmen wir uns nun noch einem Thema, das mit den beiden Vorgängern («Datenverschlüsselung auf mobilen Geräten» und «Handy-Viren: Nur ein Hype?») zusammenhängt, dem Schutz vor ungewollten Zugriffen.

Schauen wir uns also an, wie und dank welchen Sicherheitslecks auf die mobilen Geräte zugegriffen werden kann sowie was man dagegen unternehmen sollte. Dadurch erhalten Angreifer nämlich nicht nur wertvolle, lokal gespeicherte Informationen, sondern könnten auch einen Zugang zum Firmennetz aufbauen.

Achtung im Internet

Gefährlich wird es mit mobilen Geräten, sofern man sie nicht verliert oder sie sich stehlen lässt, vor allem beim Zugang ins Internet, insbesondere wenn man damit einen Fernzugriff ins Firmennetz herstellt. Wie man heute mobil ins Internet geht, haben wir Ihnen ebenfalls bereits in einer unserer letzten Ausgaben (InfoWeek Nr. 9, Schwerpunkt «Internet Access») erklärt. Den Zugang ins WWW stellt man unterwegs aktuell meistens via Mobilfunknetz (HSPA, UMTS & Co.) oder via einen Hotspot (Public WLAN) her.

Während das Mobilfunknetz gut abgesichert ist, gilt es vor allem bei Internet-Sessions im PWLAN vorsichtig zu sein. Das rät auch eine aktuelle Studie von SofTrust Consulting und der österreichischen Bull GmbH, «Mobile Anwender – Mobile Sicherheit».

Einfallstor an Hotspots ...

Die Gefahr im PWLAN ist einerseits bedingt dadurch, dass es, wie alle anderen Funknetzwerke, als «Shared Medium» aufgebaut ist. Das heisst, mehrere User teilen sich gleichzeitig dasselbe Netz. Man ist also, auch weil man in den meisten Fällen mit einer öffentlichen IP unterwegs ist, für andere sichtbar und damit offen für alle Arten von Angriffen.
Während man, einmal angenommen, man hat am Gerät im Voraus keine Schutzmassnahmen getroffen, im Mobilfunknetz durch SIM-Karte und Netzbetreiber geschützt ist, so ist man das an Hotspots häufig nicht. Denn eine weitere Schwäche liegt darin, dass sie oft möglichst benutzerfreundlich sein wollen und daher kostenlos sowie frei, das heisst unverschlüsselt, zugänglich sind.

Für Hacker, die Ausschau nach wichtigen Daten halten, bieten Hotspots also ein bequemes Einfallstor, um beispielsweise ihre «Men-in-the-Middle» zu platzieren. Und die «Bösen» bleiben, im Gegensatz zu einem selbst, anonym. Etwas sicherer ist man deshalb in kostenpflichtigen Netzwerken, da sich dort jeder Teilnehmer registrieren muss.
Möglich ist theoretisch auch, dass sich jemand als ein offenes Netzwerk ausgibt, er in Tat und Wahrheit dann aber nur eine Verbindung zu seinem PC oder Notebook herstellt und so Zugriff auf das Gerät erhält. Solche Fälle wurden in Deutschland von Security-Firmen bereits registriert.

... und via Bluetooth

Eine weitere, weitverbreitete Kommunikationslösung unter mobilen Geräten ist Bluetooth. Über dessen Sicherheit entscheidet der Hersteller des Geräts, denn das Protokoll der Übertragungstechnologie ist relativ offen. Prinzipiell unterscheidet man in der Praxis zwischen zwei Anwendungsbereichen: der Koppelung zweier Geräte (z.B. Headset oder Freisprechanlage) und dem Einsatz als Netzwerkverbindungsmöglichkeit.

Geräte, die für die erste Benutzung optimiert sind, sind der Gefahr des Verlustes von lokalen Daten ausgesetzt. Je nach Gerät, also Handy oder Notebook, können das «nur» E-Mails oder Adressen sein, aber auch viele andere Daten. Baut man, wie im zweiten Fall beschrieben, via Bluetooth eine Netzwerkverbindung auf, so besteht zusätzlich die Gefahr, dass man sich dadurch direkt einen Zugang ins Firmennetzwerk verschaffen kann. Dazu gleich mehr.

Gefahr fürs Firmennetzwerk

Ob durch Bluetooth, WLAN oder anderweitig angegriffen: Wer Opfer von Hackern geworden ist, kann sich ohne eigenes Wissen Schadsoftware eingefangen haben. Diese kann, beim Wiedereintritt in das kabelgebundene Firmennetzwerk, auf zwei Arten gefährlich werden: Einerseits können sich Viren, Trojaner oder andere Malware im Netz weiter verbreiten. Weitaus gefährlicher ist es aber, wenn die drahtlose Netzwerkverbindung weiterhin aktiv ist. Ein Hacker könnte dann das entsprechende Notebook oder Handy quasi als Router nutzen und so ins Firmennetzwerk gelangen.

Wie man sich schützt

Für die vorgängig beschriebenen Szenarien und die erwähnten, möglichen Gefahrenquellen gibt es heute natürlich bereits gute Schutzmassnahmen. Mobilfunknetz- oder Hotspot-Anbieter wie
T-Mobile oder Swisscom bieten spezielle Softwarepakete dafür an. Grundsätzlich ist allerdings auf allen mobilen Geräten, die geschäftlich gebraucht werden, eine gut konfigurierte Firewall Pflicht.


Zugriffe ins Firmennetzwerk sollten zusätzlich nicht einfach so via Internet und Hotspot erfolgen. VPN (Virtual Private Network) lautet dafür das Schlagwort der Stunde. Die Technologie, in der ein verschlüsselter Kanal vom Laptop in die Firma benutzt wird, dürfte bestens bekannt sein. VPN-Clients werden heute ebenfalls von den meisten Netzanbietern angeboten und können beispielsweise bei der Swisscom auf deren PWLAN-Webseite sogar direkt heruntergeladen werden.



Weiter kann die Sicherheit durch eine verstärkte Authentisierung des Anwenders erweitert werden. Und angenommen, trotz allem kommt es zu einem Einbruch auf den Laptop, dann wäre eine vorhergehende Datenverschlüsselung gut.

Richtlinien für die Benutzung

Wie immer, wenn es um Sicherheit geht, nützen natürlich all diese Schutzlösungen nichts, wenn auch nicht gewisse Verhaltensregeln eingehalten werden. Regelmässige Software- und Virenschutz-Updates sind hier nur ein Thema. Viel mehr sollte man auf die Deaktivierung nicht benötigter Verbindungen achten, auf mobilen Geräten so weit wie möglich sparsam mit vertraulichen Daten arbeiten und wachsam sein. Das gilt ganz besonders beim Surfen im öffentlichen WLAN, wo man zusätzlich vorzugsweise bekannte Provider berücksichtigt. Aber man sollte unterwegs natürlich zuerst schauen, dass einem niemand direkt in den Bildschirm sieht. Denn so würden alle Vorsichtsmassnahmen nichts nützen und der Angreifer ganz einfach zu seinen Informationen kommen.



Unternehmen sollten für den Umgang mit mobilen Geräten, sofern nicht bereits vorhanden, auf Rat von Security-Spezialisten unbedingt Richtlinien erstellen. Darin müsste, neben Anmerkungen dazu, was für geschäftliche Dinge damit zu tun oder zu lassen sind, auch der Umgang mit mobilen Verbindungsmöglichkeiten geregelt sein. Da stellen sich Fragen wie: Ist der Zugang via Hotspots Business-kritisch? Wenn ja: Was muss man beachten? Antworten darauf sollten dazu beitragen, vor fremden Zugriffen geschützt zu sein, wobei ein umfassender Schutz natürlich nie garantiert ist.

Tips zum Schutz vor ungewollten Zugriffen

· Auch auf mobilen Geräten eine Software-Firewall verwenden und diese richtig konfigurieren

· Wenn möglich verschlüsselt kommunizieren, zum Beispiel via VPN

· Nicht genutzte Verbindungen immer trennen

· Wachsam sein, vor allem in öffentlichen Netzwerken

· Betriebssystem und Anti-Viren-Software immer aktuell halten

· Verschlüsselung der Daten, wenn doch etwas passieren sollte

(mv)