»Schatten-Apps« gefährden IT

Die Nutzung von Apps ist weit verbreitet, stellt die Sicherheitsverantwortlichen in Unternehmen aber vor große Herausforderungen. Firmen verlieren schnell die Kontrolle über ihre Daten und riskieren Verstöße gegen rechtliche Regelungen, warnt Virtual Solution. [...]

Dieser Artikel ist ein Auszug aus einer umfangreichen Studie, die hier heruntergeladen werden kann: http://bit.ly/serv_zent_studie_cwe. (c) pixabay

Mitarbeiter kommunizieren heute per WhatsApp mit ihren Kunden oder nutzen Apps wie Dropbox oder Google Drive zum Teilen und Bearbeiten von Dokumenten. Die weitgehend unkontrollierte und nicht autorisierte Nutzung dieser mobilen Schatten-IT erhöht allerdings die Angriffsfläche – vor allem wenn Mitarbeiter ihre Geräte beruflich und privat verwenden, beispielsweise über BYOD- (Bring your own device) oder COPE-Modelle (Corporate-owned, personally enabled). Oftmals ungesichert lassen sie Angreifer quasi »durch die Hintertür« ins Unternehmen und ermöglichen schlimmstenfalls den Zugriff auf Firmendaten. Auch rechtliche Regelungen oder Compliance-Vorgaben werden durch die unkontrollierte Nutzung der verschiedensten Apps umgangen.

5 große Risiken

Hier sind die fünf größten Risiken, die durch »Schatten-Apps« drohen:

  • Unverschlüsselte E-Mails: Berufliche E-Mails, die über ein privates Smartphone verschickt werden, bieten Angreifern wertvolle Einblicke in das Unternehmen, angefangen bei Betreff und Mailtext bis hin zu Attachments interner Dokumente. Das Problem liegt meist in der unzureichenden Absicherung: Weder gibt es eine End-to-End-Verschlüsselung der Mails noch sind die Sicherheitsvorkehrungen in öffentlichen WLANs ausreichend, um ein Abfischen von Daten zu verhindern.
  • Datenhungrige Apps: Neben gezielten Attacken Krimineller gibt es aber auch »legale Wege des Informationsabflusses«. Viele Apps haben eingebettete Funktionen zur Datenexfiltration, also zum Abzug von Daten. Im Fall von WhatsApp beispielsweise ist das der Zugriff auf die Kontaktliste, in der auch Business-Kontakte gespeichert sein können. Das stellt einen Verstoß gegen die Vorgaben der DSGVO dar, die vorschreibt, dass personenbezogene Daten nicht einfach ohne Zustimmung verarbeitet und weitergeleitet werden dürfen. In der Konsequenz hat das Unternehmen nicht mehr die volle Kontrolle über die Daten und kann daher nicht dokumentieren, wo personenbezogene Daten gespeichert werden und kann sie auch nicht löschen.
  • Speicherung sensibler Dokumente: Speichern Mitarbeiter Dokumente mit sensiblen Unternehmensdaten auf dem mobilen Device ab, ist das Risiko, dass diese Informationen im Falle eines Diebstahls in die falschen Hände geraten, groß.
  • Phishing-Attacken im Browser: Kriminelle sind mittlerweile so gewieft, dass sie täuschend ähnliche Benutzeroberflächen in den Browser »einschmuggeln«. Der ahnungslose Nutzer meldet sich dann auf einer Fake-Seite mit seinen Zugangsdaten an. Die so erschlichenen Daten können Betrüger zum Beispiel für einen Erpressungsversuch nutzen.
  • Gekündigte Mitarbeiter: Mitarbeiter, die im Streit gehen, fühlen sich oft ungerecht behandelt und wollen sich vielleicht an ihrem Ex-Arbeitgeber rächen. Wenn sich auf ihrem privaten Smartphone Firmendaten befinden, haben sie genügend Munition für Racheaktionen, die dem Unternehmen sowohl finanziell als auch in puncto Reputation einen enormen Schaden zufügen können.

Keine Awareness

Die Sorglosigkeit von Mitarbeitern beim Umgang mit Smartphones und Tablets beruht vielfach auf Wissensdefiziten. Umso wichtiger sind Schulungen. Genauso entscheidend ist es, einzelne Abteilungen in die Auswahl von Tools miteinzubeziehen. Nur so kann sichergestellt werden, dass sinnvolle Apps bereitgestellt und dabei auch Sicherheitsstandards eingehalten werden. Eine Lösung, die einfach zu handhaben und zu implementieren ist, ist eine Container-App. Sie stellt einen verschlüsselten Bereich auf dem Mobilgerät her, auf welchen andere Apps keinen Zugriff haben.

»Mein Tipp: Kontrollieren Sie erstens die IT-Nutzung. Zweitens: Sensibilisieren und schulen Sie Ihre Mitarbeiter. Drittens: Finden Sie die Gründe für die mobile Schatten-IT heraus. Viertens: Erlauben statt verbieten – bieten Sie attraktive Alternativen an. Letzten Endes gibt es nur eine Lösung für das Problem Schatten-IT: Die IT-Abteilung muss den Mitarbeitern die Anwendungen zur Verfügung stellen, die sie für ihre Arbeit brauchen und die einfach zu bedienen sind«, so Günter Junk, CEO von Virtual Solution.


Mehr Artikel

News

KI ist das neue Lernfach für uns alle

Die Mystifizierung künstlicher Intelligenz treibt mitunter seltsame Blüten. Dabei ist sie weder der Motor einer schönen neuen Welt, noch eine apokalyptische Gefahr. Sie ist schlicht und einfach eine neue, wenn auch höchst anspruchsvolle Technologie, mit der wir alle lernen müssen, sinnvoll umzugehen. Und dafür sind wir selbst verantwortlich. […]

Case-Study

Erfolgreiche Migration auf SAP S/4HANA

Energieschub für die IT-Infrastruktur von Burgenland Energie: Der Energieversorger hat zusammen mit Tietoevry Austria die erste Phase des Umstieges auf SAP S/4HANA abgeschlossen. Das burgenländische Green-Tech-Unternehmen profitiert nun von optimierten Finanz-, Logistik- und HR-Prozessen und schafft damit die Basis für die zukünftige Entflechtung von Energiebereitstellung und Netzbetrieb. […]

FH-Hon.Prof. Ing. Dipl.-Ing. (FH) Dipl.-Ing. Dr. techn. Michael Georg Grasser, MBA MPA CMC, Leiter FA IT-Infrastruktur der Steiermärkischen Krankenanstaltengesellschaft m.b.H. (KAGes). (c) © FH CAMPUS 02
Interview

Krankenanstalten im Jahr 2030

Um sich schon heute auf die Herausforderungen in fünf Jahren vorbereiten zu können, hat die Steiermärkische Krankenanstaltengesellschaft (KAGes) die Strategie 2030 formuliert. transform! sprach mit Michael Georg Grasser, Leiter der Fachabteilung IT-Infrastruktur. […]

News

Risiken beim Einsatz von GenAI in vier Schritten senken

Die Themen Datenschutz und Modellverwaltung sind in der Datenwissenschaft zwar nicht neu, doch GenAI hat ihnen eine neue Dimension der Komplexität verliehen, die Datenschutzbeauftragte vor neue Herausforderungen stellt. Die Data-Science-Spezialisten von KNIME haben die Potenziale und Risiken der KI-Nutzung beim Einsatz bei der Datenarbeit zusammengefasst und empfehlen vier Schritte zur Risikominimierung. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*