Herausforderungen an die IT-Security in Zeiten von Home Office

25.06.2021 – Lesezeit: 4 Minuten

Impulse / Technologie

Herausforderungen an die IT-Security in Zeiten von Home Office

In der Coronakrise kam der große Durchbruch von Home Office. Millionen Angestellte haben ab dem ersten Lockdown plötzlich von daheim ausgearbeitet – und vielfach auch über eigene Geräte. Entsprechend groß sind der Herausforderungen für die IT-Sicherheit.

Bring Your Own Device (BYOD) ist das Schreckgespenst jedes IT-Security-Verantwortlichen, aber als unter anderem vom Top-Management forcierter Trend kaum umkehrbar. Und in der Coronakrise hat BYOD einmal mehr an Bedeutung gewonnen. Denn viele Unternehmen, die im ersten Lockdown im März 2020 ihre Mitarbeiter nach Hause schicken mussten, haben auf die Schnelle gar nicht genug firmeneigene, sichere Notebooks und Smartphones hinterherschicken können. Und auch immer noch arbeiten viele Teleworker, wie man sie früher nannte, von daheim oder unterwegs aus mit privaten Geräten. Der normale Perimeterschutz über eine Firewall reicht da oft nicht mehr aus, um bei der Vielzahl neuer Geräte die IT-Security zu gewährleisten.

Transparenz ist das A und O für die Cybersecurity

Für die Administratoren und IT-Security-Verantwortlichen ist aber ganz wichtig, Transparenz herzustellen, welche Geräte wo und wie im Einsatz sind. Dafür bieten sich entsprechende Tools für Connected Security oder Lösungen aus dem schnell wachsenden Segment Network Detection and Response (NDR) an, die den Netzwerkverkehr überwachen und zum Beispiel auch erkennen können, welche IoT Devices angebunden sind. Um das Netzwerk wirksam zu schützen, kommt es darauf an, mögliche Gefahren anzuzeigen, die von und auf einzelne Geräte und Nutzer ausgehen.

Lösungen für Threat Intelligence (wörtlich „Bedrohungsintelligenz“) wie Adaptive Profiling von Juniper in Kombination mit Network Access Control (NAC) und Security Information and Event-Management (SIEM) von Fortinet etwa erlauben es, den ganzen Datenverkehr im eigenen Netzwerk zu überwachen und analysieren, um automatisch Bedrohungslagen zu erkennen. Dabei kommt vielfach schon Künstliche Intelligenz zum Einsatz.

Über scharfe Geschütze und Angriffe von innen

Da Cyberkriminelle bis hin zu KI ihrerseits immer „schärfere Geschütze auffahren“, muss die Cyberabwehr entsprechend nachziehen und versuchen, den Hackern sogar ein Stück weit voraus zu sein. Aber viele der Angriffe kommen gar nicht von außen, sondern von innerhalb der Perimetergrenzen des eigenen Unternehmens einschließlich der Kolleginnen und Kollegen im Außendienst oder im Home Office. Teilweise geschieht dies natürlich aus böser Absicht, viel häufiger aber aus Schusseligkeit oder Nachlässigkeit.

Dass man seine Zugangsdaten einschließlich Passwörter nicht offen herumliegen lassen sollte, klingt so einleuchtend und selbstverständlich, wird aber allzu oft übergangen. Was zu einfache Passwörter wie „1234“ oder einfach nur „Kennwort“ angeht, haben Softwareanbieter wie Microsoft dem oft schon einen Riegel vorgeschoben. Denn immer mehr Produkte oder Internetanbieter erfordern Pass- oder Kennwörter mit mindestens einer Großschreibung, einer Zahl und einem Sonderzeichen. Am besten eigenen sich längere Passwörter, ein Passwort für alle Anwendungen ist aber Tabu. Wer sich kein Passwort merken kann, sollte es mit den Anfangs- oder Endbuchstaben von Gedichtzeilen oder Liedern versuchen und diese mit Zahlen und Sonderzeichen kombinieren. Das könnte zum Beispiel Teil einer Home-Office-Sicherheitsschulung sein, über Microsoft Teams zum Beispiel.

Mehr Sicherheit durch Multifaktor-Authentifizierung

Der allzu leichte Zugang von beruflich genutzten Geräten im Home Office birgt die Gefahr, dass Firmengeheimnisse nach außen gelangen. Dass der Lebenspartner oder die Lebenspartnerin für die Konkurrenz arbeitet und Informationen weitergibt, wäre der Supergau, aber es genügt schon, wenn er oder sie sich im Gespräch mit Nachbarn oder Bekannten verplappert. Marvin Peters und Mario Krukow, Experten für Cybersecurity bei All for One Group, plädieren daher für eine Zwei- oder Multifaktor-Authentifizierung. Als zweiter Faktor kann zum Beispiel neben den Zugangsdaten mit Benutzername und Passwort ein biometrisches Merkmal hinterlegt sein. Gerade bei privilegierten Konten im administrativen Bereich hält Krukow die Multifaktor-Authentifizierung für dringend erforderlich. Für administrative Rollen sollten auch keine Shared Accounts, sprich geteilte Konten, verwendet werden. Die Rollenbesetzung für Administratoren sollte auch viel mehr granularer „On-Demand“ und „Just-in-Time“ (JIT) aufgabenbasiert erfolgen. Außerdem sollte solche privilegierten Konten mit Warnmeldungen, Audit-Berichten und Zugangsprüfungen einhergehen.

Mehr Schutz durch bedingte Freigaben und E-Mail-Verschlüsselung

Besonderer Zugriffsschutz ist laut Peters auch in puncto Informationsaustausch geboten, denn sonst könnte neben rechtlichen Konsequenzen wie etwa hohen DSGVO-Bußgeldern auch ein schwerer Imageverlust für das Unternehmen drohen. Der Versand über B2C-Filehosting-Dienste wie Dropbox sollte generell unterbunden werden. OneDrive for Business von Microsoft dagegen erlaubt den bedingten oder konditionalen Zugriff auf Dateien und Daten. Externe Partner können zum Beispiel nur eine Leseberechtigung erhalten. Mit OneDrive Premium zum Beispiel besteht auch die Möglichkeit, Freigabe-Links zeitlich zu befristen. Für vertrauliche Informationen, die nie nach außen gelangen dürfen, empfiehlt Microsoft, diese mit SharePoint auf einer Webseite zu speichern, auf der die externe Freigabe deaktiviert ist. Somit können Mitarbeiter, ob im Büro oder im Home Office, darauf zugreifen, fremde Personen aber nicht.

Für den sicheren E-Mail-Austausch raten die Cybersecurity-Experten von All for One zur E-Mail-Verschlüsselung, die allerdings noch viel zu selten genutzt wird. Microsoft kann hier die komplette Schlüsselverwaltung übernehmen. Empfänger von verschlüsselten Mails erhalten eine sogenannte Wrapper-E-Mail, somit können auch Nutzer von Gmail- oder Yahoo-Konten bei vorheriger Freigabe darauf zugreifen. Oft vernachlässigt wird im Unternehmen oder im Home Office auch das Monitoring, obwohl Microsoft mit dem Audit Log dafür ein zentrales Dashboard bietet. Wie Mario Krukow betont, sollte Monitoring nicht als Überwachung der Mitarbeiter, sondern zeigt es gemäß den unternehmenseigenen Richtlinien ungewöhnliche Vorkommnisse an. Das kann zum Beispiel das Löschen oder Verschieben von Ordnern oder großer Dateimengen sein. Eine regelmäßige Analyse und Auswertung der Protokolle (Logs) kann daher wichtig sein für die IT-Sicherheit im Unternehmen bis hinein in die Home Offices der Mitarbeiter.

Mehr zur IT-Security und welche Unterstützung Microsoft und All for One diesbezüglich bieten, erfahren Sie in einem Online-Vortrag von Krukow und Peters auf dem Mittelstandsforum 2020. Mario Krukow ist bei All for One Senior Security Architect & Head of Information Protection, Marvin Peters ist Consultant Cybersecurity & Compliance.

Sie möchten mehr zum Thema Cybersecurity erfahren? Hier geht es zu den Trends des Jahres 2021.

 

Quelle: istockphoto, Heiko119, Stock-Fotografie-ID: 851574848