olly - stock.adobe.com
Mobile Sicherheit: Die 4 größten Risiken für Unternehmen
Mobilgeräte sind ein lohnendes Ziel für Hacker, um Daten zu stehlen. Die Bedrohungen reichen von Netzwerk-Spoofing bis zu Phishing und gefährden Unternehmen sowie Privatpersonen.
Sie lesen diesen Artikel möglicherweise auf Ihrem Smartphone. Mobile Geräte werden immer stärker zu einem der meistgenutzten Endpunkte im Unternehmen. Es gibt jedoch den weit verbreiteten Irrglauben, dass Mobilgeräte sich keine Malware oder Viren einfangen können oder ohne Schutz auskommen. Das stimmt einfach nicht.
Laut Studien des Pew Research Centers besitzen und nutzen 85 Prozent der US-Amerikaner Smartphones. In Deutschland beträgt die Anzahl der Smartphone-Nutzer nach Angaben des Statistik-Portals Statista 60,7 Millionen, das entspricht circa 73 Prozent der Gesamtbevölkerung.
Unternehmen weiten ihre Work-from-Home-Praktiken sowie BYOD- und COPE-Strategien für mobile Geräte aus, um die Anforderungen von mobilen Arbeitskräften zu erfüllen. Obwohl viele Firmen in MDM-Tools (Mobile Device Management) investiert haben, ist die Mehrheit der mobilen Endpunkte immer noch nicht vor Bedrohungen wie Phishing, Malware und Exploits für mobile Betriebssysteme geschützt.
Folgend finden Sie die vier wichtigsten mobilen Sicherheitsrisiken und Maßnahmen, die IT-Abteilungen ergreifen können, um diese kritischen Endpunkte zu schützen.
1. Phishing
Haben Sie eine Zunahme von Spam-Nachrichten oder eine Zunahme von Spam-Anrufen festgestellt? Phishing ist einer der häufigsten Ansatzpunkte, um einen Angriff zu starten. Phishing beschreibt Arten von Angriffen, bei denen sich der Cyberkriminelle als seriöse Person oder Firma ausgibt. Das geschieht meist per E-Mail oder Telefonanruf. Auf Mobilgeräten werden zahlreiche Daten gespeichert, zum Beispiel in E-Mail-Anwendungen sowie Text- und sonstigen Messengern, die für Angreifer interessant sein können.
Viele Unternehmen investieren in Web-Gateways, Proxies und Next-Generation Firewalls, um die Sicherheit zu erhöhen. Hacker finden jedoch Lücken in diesen Lösungen, wie Angriffe, die nicht über den Unternehmens-Account laufen, sondern die persönlichen E-Mails und Textnachrichten eines Mitarbeiters nutzen. Im Jahr 2018 wurde das Mobiltelefon des damaligen Amazon-CEOs und Washington-Post-Besitzers Jeff Bezos gehackt, nachdem er eine mit Schadcode präparierte Videodatei in einer WhatsApp-Nachricht erhalten hatte. Auf diese Weise gelangten umfangreiche Daten von seinem Gerät in fremde Hände.
Wie Social Engineering Phishing als Waffe einsetzt. Hacker können Social Engineering verwenden, um Benutzer zu recherchieren, die sie angreifen möchten. Dabei suchen sie nach Schlüsselattributen wie dem Unternehmen, in dem die Opfer arbeiten, deren beruflicher Position, den letzten Posts und Updates.
Ein solcher Ansatz wird manchmal als Spear Phishing bezeichnet. Diese Informationen verraten den Hackern Einstiegspunkte, um das Vertrauen der Benutzer zu gewinnen, in der Regel über E-Mails oder Posts in sozialen Netzwerken und Messaging. Ihr Ziel ist es, den Nutzer dazu zu bringen, sensible Unternehmensdaten und -informationen zu teilen. Während Technologie eine wichtige Rolle beim proaktiven Schutz von Geräten und Anwendern spielt, besteht die Gefahr von Social Engineering darin, dass es auf menschlichem Fehlverhalten beruht. Hackern ist es dadurch möglich, über Phishing-Seiten und Schadsoftware einzudringen.
Phishing-Seiten sind oft URLs, die per Link geöffnet werden. Diese bösartigen URLs sehen oft ähnlich aus wie eine authentische Website, um Nutzern vorzugaukeln, dass sie sich auf der echten Website befinden. Phishing-Angreifer verwenden:
- E-Mails, die sowohl an den Unternehmens- als auch den privaten Account gerichtet sein können;
- Texte oder Nachrichten von Anwendungen wie Facebook Messenger, WhatsApp und iMessage; und
- soziale Plattformen wie Facebook, Twitter und Instagram.
Vorbeugende Maßnahmen für Phishing-Angriffe auf mobile Geräte. Die erste – und beste – Verteidigungslinie ist die Schulung der mobilen Nutzer. Informieren Sie die Mitarbeiter und alle anderen Personen mit Unternehmenszugriff darüber, wie Phishing-Angriffe aussehen. Verwenden Sie Mobile Threat Defense (MTD), um Geräte und Endbenutzer vor Phishing-Attacken zu schützen. MTD-Tools sichern Geräte durch Scannen und Erkennung auf dem Gerät, wobei fortschrittliche Algorithmen und Filter zum Einsatz kommen, um Angriffe in Echtzeit zu unterbinden. Wenn ein Gerät gehackt wird, kann MTD-Software es schnell unter Quarantäne stellen und so einen möglichen Datenverlust verhindern.
2. Schadsoftware
Bösartige Apps sind darauf ausgelegt, persönliche und Unternehmensdaten zu sammeln und an Dritte zu übertragen.
Offizielle App-Stores wie der Apple App Store und Google Play setzen viele Kontrollmechanismen ein, um schädlichen Code zu verhindern. Apple überprüft Apps, und Google Play nutzt den Dienst Play Protect. Es ist jedoch bekannt, dass Apps diese Prozesse immer wieder austricksen. Außerdem können Nutzer bei offenen mobilen Betriebssystemen wie Android Anwendungen aus anderen Quellen installieren, was die Chance erhöht, Opfer von Cyberkriminellen zu werden.
Wie Sie den Download schädlicher Apps blockieren. Unternehmen können in MDM als erste Verteidigungslinie gegen bösartige Apps investieren. Ein ordnungsgemäß verwaltetes Gerät reduziert die Möglichkeit für die Installation von Potential Harmful Apps (PHA), also potenziell schädlichen Apps, erheblich.
Laut Googles Android Ecosystem Security Transparency Report (Info dazu bei Forrester) lässt sich auf Geräten, die mit MDM-Richtlinien wie dem Blockieren der Installation unbekannter Anwendungen richtig konfiguriert sind, die PHA-Rate auf 0,004 Prozent senken. Das Gleiche gilt für iOS.
Der Einsatz von ordnungsgemäßen MDM-Konfigurationen und DLP-Richtlinien kann die Wahrscheinlichkeit erheblich reduzieren, dass bösartige Anwendungen das Gerät und das Betriebssystem für ihre Zwecke missbrauchen. Mit MDM kann der IT-Admin verschiedene Anwendungen blockieren und andere für die Geräte, die beim MDM-System registriert sind, zulassen. MDM-Tools verfügen zudem über weitere Sicherheitsrichtlinien, um Datenverluste zu verhindern.
Unternehmen können das Mobile Device Management mit einem MTD-Tool ergänzen, um einen erweiterten Schutz in Echtzeit zu erhalten. MTD-Software erkennt und bekämpft schädliches Verhalten einer App oder einen Zero-Day-Angriff, bei dem Hacker eine Schwachstelle in legitimer Software ausnutzen, bevor der Hersteller sie patchen kann. MTD-Tools stellen das Gerät unter Quarantäne oder trennen es vom Netz, um die Auswirkungen des Angriffs zu minimieren.
Informieren Sie die Benutzer von Mobilgeräten über Sicherheitsbedrohungen und -änderungen, um sowohl Phishing als auch den Download schädlicher Apps zu vereiteln. Entwickeln Sie eine Sicherheitsrichtlinie für mobile Geräte, damit diese Anwender die Bedeutung von Gerätesicherheit verstehen und wissen, wie sie ein Gerät verwenden, das auf Unternehmensdaten zugreift.
Solche Richtlinien müssen alle möglichen Faktoren berücksichtigen, auf die Nutzer und IT-Admins während ihrer Arbeit stoßen könnten. Dazu gehören unter anderem Nutzungsbedingungen (sogenannte Acceptable Use Policies), Richtlinien zum Gerätebesitz sowie eine Strategie für mobile Updates und Erweiterungen bestehender Sicherheitsrichtlinien. IT-Administratoren können diese Richtlinien durch eine Kombination aus Tools und Plattformen wie MTD, MDM und EMM (Enterprise Mobility Management) sowie weichen Managementmethoden wie Nutzerschulungen und Dokumentation durchsetzen.
3. Unsicheres WLAN und Netzwerk-Spoofing
Sie haben bestimmt schon davon gehört, dass man öffentliche WLAN-Verbindungen, wie man sie häufig etwa in der Gastronomie findet, nicht für geschäftliche Zwecke nutzen soll. Der Grund dafür sind Spoofing und unsichere Netzwerke. Angreifer können Wi-Fi-Netzwerke leicht imitieren, um den Geräte-Traffic abzufangen. Offene oder freie Wi-Fi-Hotspots sind berüchtigt für Man-in-the-Middle-Angriffe und ähnliche Attacken, bei denen der Angreifer den Netzwerk-Traffic des Geräts abfängt und abhört.
Der Benutzer muss in vielen Fällen keine Aktionen auf dem Gerät durchführen, damit der Angriff stattfinden kann. Beispielsweise verbindet sich ein Smartphone mit einem bekannten Netzwerk, etwa in einem Café. Das Smartphone wird immer versuchen, sich automatisch mit einem bekannten Netzwerk zu verbinden, sobald es wieder in Reichweite ist.
Ein Hacker kann sich leicht als genau dieses WLAN ausgeben, indem er dessen Service Set Identifier (SSID), also den Namen des Netzwerks, übernimmt. Diese Methode wird als Spoofing bezeichnet. Hacker nutzen Spoofing, um unbemerkt vom Benutzer des mobilen Geräts Unternehmensinformationen zu sammeln.
Wie Sie Netzwerk-Spoofing stoppen. IT-Abteilungen können MDM verwenden, um WLAN-Richtlinien für unternehmenseigene und privat mitgebrachte Geräte zu erzwingen. Dazu gehört auch das Allowlisting bestimmter SSIDs. Darüber hinaus kann MDM Richtlinien für Data Loss Prevention und Verschlüsselung durchsetzen, um mobile Geräte abzusichern. Unternehmen können eine MDM-Konfiguration zudem mit einem MTD-Tool zur erweiterten Erkennung von schädlichem Verhalten, zum Beispiel Man-in-the-Middle-Angriffen, ergänzen.
4. Unzureichend mit Updates versorgte Geräte und Anwendungen
Endpunkte und Anwendungen immer auf dem neuesten Stand zu halten, ist eine der besten Möglichkeiten, um die Sicherheit von Unternehmensdaten und -informationen zu gewährleisten. Updates und Patches fallen in die Kategorie der Cyberhygiene, ebenso wie komplexe Passwörter und Multifaktor-Authentifizierung (MFA). Ungepatchte Geräte und Anwendungen enthalten häufig Exploits und Schwachstellen, die Angreifer auszunutzen versuchen, um an persönliche und Unternehmensdaten zu kommen.
Wie Sie up to date bleiben. Sowohl Apple als auch Google veröffentlichen Updates, um Sicherheitslücken und Exploits zu patchen. Damit sollen zukünftige Angriffe verhindert und das Potenzial für Zero-Day-Schwachstellen eingeschränkt werden.
Für Android hat Google begonnen, monatliche Sicherheits-Patches zu veröffentlichen, die andere Gerätehersteller für ihre Kunden implementieren können. Auch Apple handelt proaktiv und bringt pro Jahr mehrere Updates für seine mobilen Betriebssysteme heraus, um für die Sicherheit der Geräte zu sorgen. Unternehmen können über ein MDM-Tool Richtlinien für Geräteaktualisierungen durchsetzen und Anwendungs-Updates verwalten.
