Je mehr Smartphones in den Unternehmensalltag Einzug halten, desto mehr werden sie auch zum Sicherheitsrisiko. Für sicheres mobiles Arbeiten hat das IT-Beratungshaus All for One Steeb Office 365 und andere Microsoft-Lösungen mit der „Post Perimeter Security“-Architektur der Sicherheitsexperten von Lookout gepaart.

Der Top-Manager eines mittelständischen Unternehmens möchte nicht persönlich in unserem Magazin genannt werden, aber bei der Suche per Smartphone nach einer Information im Internet ist er in eine Phishing-Falle geraten. Er steht damit nicht allein. Die Wahrscheinlichkeit, auf eine solche Phishing-Attacke hereinzufallen, ist auf mobilen Plattformen dreimal so hoch wie am Arbeitsplatzrechner, belegen Studien.

Mobile Phishing wird zur großen Bedrohung

Der amerikanische Spezialist für Mobile Security hat noch mehr Zahlen zu Phishing, dem Versuch, über täuschend echt aussehende fingierte Webseiten an Benutzer- oder sensible Unternehmensdaten heranzukommen: 56 Prozent der Nutzer haben versehentlich schon mal eine Phishing-URL angeklickt. Die Rate der betreffenden Opfer ist dabei seit 2011 im Schnitt um 85 Prozent gestiegen – pro Jahr. Und sie nimmt ständig zu.

Mobilgeräte machen es tatsächlich in der Regel viel einfacher, in eine Phishing-Falle zu tappen als Desktop-Rechner. Entwickler von Malware für Smartphones, allen voran mAPT-Programmierer (mobile Advanced Persistent Threat), haben es auch immer leichter, ihre Opfer zu täuschen. Wer glaubt, dass Phishing-Attacken sich immer noch hauptsächlich über E-Mails einschleichen, liegt falsch. Unternehmen müssen sich auch darüber Gedanken machen, dass Apps immer mehr zum Transportweg für Phishing-Attacken werden.

Mobile Freiheit wird zur gefährlichen Gratwanderung

„Phishing wird neben anderer Malware zum wachsenden Problem für Unternehmen. Durch den leichten und oft zu leichtsinnigen Umgang mit mobilen Geräten und Apps potenziert sich das noch“, sagt Peter Rosendahl, Director Solutions Cybersecurity, Cloud Architecture und New Work bei der bei All for One Group, und weiß, dass der „mobile Zug“ privat wie in der geschäftlichen Nutzung nicht aufzuhalten ist, aber in sichere Bahnen gelenkt werden muss.

„Ob über PC oder Mobile Device, der Zugriff auf Unternehmensanwendungen und -daten ist derselbe. Nur erleben wir, dass der eine Weg streng gesichert, der andere weitestgehend ignoriert wird. Das ist eine sehr gefährliche Gratwanderung für Unternehmen“, so Rosendahl. „Unified Communications & Collaboration, kurz UCC, wird mit und vor allem auch über den mobilen Zugriff immer wichtiger für Unternehmen. Zu ihrem eigenen Schutz und dem ihrer Assets, Kunden und Partner müssen sie aber auch einsehen, dass Investitionen in Mobile Security und andere Technologien unabdinglich sind“, fügt er hinzu.

Perimeterschutz reicht nicht mehr aus

Wie Rosendahl weiter ausführt, sind dabei neue Sicherheitskonzepte gefragt, die nicht auf der Perimeter-Ebene oder an der Firewall Halt machen, sondern auch das Identity-Management, die Cloud- und die Gerätesicherheit einschließen. Denn Phishing- und andere Cyberattacken sind längst in der Lage, konventionelle Firewalls und Netzwerkgrenzen zu überwinden. Die Schutzmechanismen klassischer MDM-Lösungen bieten bei der heutigen Bedrohungslage keinen ausreichenden Schutz.

„Der amerikanische Mobile-Security-Spezialist Lookout hat mit Mobile Enterprise Security und der neuen ‚Post Perimeter Security‘-Architektur eine 360-Grad-Lösung geschaffen, die alle Aspekte der mobilen Sicherheit abdeckt. Wir ergänzen diese so, dass der mobile Zugriff auf Office 365 und andere Microsoft-Anwendungen rundum abgesichert ist“, so der IT-Security-Experte der All for One Group, dem führenden mittelständischen SAP- und Microsoft-Partner.

„Zero Trust“-Zugangsmodell

In der „Post Perimeter World“, wie Lookout sie sieht und in ihrem Mobile Enterprise Security implementiert hat, wird über die Identitätsprüfung des Nutzers hinaus auch die Identität und Sicherheit des Gerätes selbst ständig überprüft. Die zentralen Sicherheitsfunktionen werden von der Perimeter- oder Firewall-Ebene direkt auf die Endpunkte verlagert, sprich auf die mobilen Geräte selbst. Hinzu kommt ein „Zero Trust“- statt des bisherigen „Trust“-Zugangsmodells. Zero Trust („prüfe und vertraue niemals“) bedeutet, dass dem Benutzer an sich sowie dessen Endgeräten nicht getraut wird. Er erhält also nur dann Zugriff, wenn er den Unternehmensrichtlinien im Bereich Sicherheit entspricht.

Die „Post Perimeter Security“-Architektur überprüft anhand von vorher festgelegten Bedrohungslisten auch ständig, ob ein Gerät compliant ist und den Endpoint-Protection-Richtlinien des jeweiligen Unternehmens entspricht. Ist das Gerät compliant, kann es sich an den Ressourcen in der Cloud authentifizieren; wenn nicht, kann man sich über das Smartphone, Handheld oder Tablet nicht anmelden.

Continuous Conditional Access als Türsteher

Lookout meldet das Gerät in dem Fall sogar von den geschäftlichen Anwendungen ab und erst wieder an, wenn das Risiko gemäß der von den Administratoren festgelegten Bedrohungslisten vertretbar ist. Denn für Unternehmen ist es auch immer eine Gratwanderung, wie viele mobile Freiheiten und Möglichkeiten sie den Mitarbeitern gewähren möchten und welche Risiken sie dabei in Kauf zu nehmen bereit sind.

Das „Zero Trust“ wird von Lookout durch Continuous Conditional Access (kontinuierlichen bedingten Zugang) sichergestellt. Die Lösung dient dabei als eine Art Türsteher zwischen dem Endgerät und der Identitätslösung des jeweiligen Unternehmens. Der Nutzer muss jeweils vor dem Zugang zu Unternehmensressourcen bestätigen, dass sein Gerät frei von Cyberbedrohungen ist. Das „Zero Trust“-Modell schließt dabei auch Phishing & Content Protection über alle Kanäle ein. Dazu gehören auch SMS-Nachrichten sowie Apps von sozialen Medien und Messaging-Diensten.

Aus „Trust“ wird „Zero Trust“

Mit dem Null-Vertrauen-Modell und der „Post Perimeter Security“-Architektur haben die Sicherheitsexperten auch eine wichtige mobile Basis geschaffen, um Unternehmen die Sorgen vor Verstößen gegen die seit Mai 2018 wirksame und streng geahndete EU-Datenschutzgrundverordnung zu nehmen. Im äußersten Fall drohen Bußgelder in Höhe von 20 Millionen Euro oder vier Prozent des weltweit erwirtschafteten Konzernumsatzes des Vorjahres.

„Die Absicherung mobiler Endgeräte ist für uns von oberster Priorität. Wir betrachten Lookout als wesentlich, um unsere Unternehmensdaten vor Angriffen zu schützen und sämtliche Datenschutzvorschriften einzuhalten“, sagt Christian Jösch, Netzwerkadministrator bei dem Logistikdienstleister Simon Hegele mit Sitz in Karlsruhe.

Unified Endpoint Management löst MDM und CMT ab

Lookout liegt mit der „Post Perimeter Security“-Architektur auch voll im Trend. Gartner hat Mitte 2018 dargelegt, dass Unified Endpoint Management (UEM) künftig das klassische Mobile-Device-Management beziehungsweise Enterprise Mobility Management (MDM/EMM) und Client Management Tools (CMT) ersetzen wird. Das amerikanische Marktforschungsinstitut geht davon aus, dass 2020 bereits 80 Prozent aller Arbeitsaufgaben über mobile Geräte erledigt werden.

UEM werde damit als Konsole mit nur einem Endpunkt für alle Geräte eine wachsende Bedeutung zukommen. Das schließt stationäre und mobile Rechner ebenso ein wie Smartphones, Tablets, Kiosk-Systeme und die Milliarden und Abermilliarden von IoT-Devices, die in zunehmendem Maße das weltweite Datenaufkommen beherrschen.

Quelle: Titelbild iStock, alexsl