|
Berlin (ots) - Homeoffice, hybride Teams und dezentrale Arbeitsplätze gehören
für viele Unternehmen längst zum Alltag. Dabei greifen Mitarbeiter immer wieder
auch auf private Laptops oder Smartphones zurück, schließlich ist das
unkompliziert und spart Zeit. Doch sobald Unternehmensdaten auf Geräten
verarbeitet werden, deren Sicherheitszustand niemand kennt, wird aus der
praktischen Lösung ein ernst zu nehmendes Risiko. Wo liegen also die Gefahren
und wie können Unternehmen gegensteuern?
Ein kurzer Blick auf geschäftliche E-Mails vom privaten Smartphone, eine
dringende Präsentation am heimischen Laptop oder der schnelle Zugriff auf
Unternehmenssysteme vom eigenen Rechner aus: Für viele Unternehmen ist das
längst normal. Schließlich gehören die Geräte den Mitarbeitern selbst. Warum
also sollte sich das Unternehmen um deren Sicherheit kümmern? Die Antwort liegt
auf der Hand: Sobald geschäftliche E-Mails gelesen, Dokumente bearbeitet oder
Unternehmenssysteme genutzt werden, betrifft die Sicherheit des Geräts auch das
Unternehmen. Dabei bleibt häufig unklar, ob Software und Sicherheitsupdates
aktuell sind, welche Programme installiert wurden oder wo Unternehmensdaten
gespeichert werden. Besonders kritisch wird es, wenn ein Gerät verloren geht
oder ein Mitarbeiter das Unternehmen verlässt. "Ein privates Gerät bleibt nicht
Privatsache, sobald darüber Unternehmensdaten verarbeitet werden. Ab diesem
Moment muss das Unternehmen wissen, welche Risiken es damit eingeht und wie es
diese begrenzt", erklärt Joachim Reinke, Experte für Informationssicherheit und
Gründer von einfachISO.
"Unternehmen müssen nicht jedes private Gerät grundsätzlich verbieten. Sie
müssen aber klar festlegen, was Mitarbeiter darüber tun dürfen und wo die Grenze
liegt", erklärt Joachim Reinke. Seit Jahren begleitet er mit einfachISO
insbesondere mittelständische Unternehmen dabei, die Informationssicherheit so
zu organisieren, dass sie auch im Arbeitsalltag funktioniert. Dabei betrachtet
er technische Schutzmaßnahmen immer gemeinsam mit den Regeln und
Verantwortlichkeiten, die im Arbeitsalltag tatsächlich greifen müssen. Gerade
bei Remote Work und dezentralen Teams zeigt sich aus seiner Erfahrung, dass
pauschale Vorgaben häufig zu kurz greifen. Entscheidend ist vielmehr, welche
Tätigkeiten und Informationen auf einem privaten Gerät zugelassen werden können.
Denn zwischen einer einfachen Terminbestätigung auf dem Smartphone und dem
Zugriff auf zentrale Unternehmensserver liegen erhebliche Unterschiede.
Das unterschätzte Risiko: Wenn private Geräte zur Sicherheitslücke werden
Das eigentliche Risiko privater Endgeräte liegt nicht darin, wem sie gehören,
sondern darin, dass Unternehmen ihren Sicherheitszustand kaum kontrollieren
können. Bei zentral verwalteten Firmenlaptops lassen sich Sicherheitsupdates,
Schutzprogramme und Zugriffsrechte verbindlich vorgeben. Bei privaten Geräten
ist dagegen häufig unklar, welche Software installiert ist, ob Schadprogramme
unbemerkt im Hintergrund laufen oder ob Familienmitglieder denselben Rechner
nutzen. Damit steigt das Risiko, dass sensible Unternehmensinformationen in
falsche Hände geraten.
Auch eine VPN-Verbindung löst dieses Problem nicht. Zwar schützt sie die
Datenübertragung zwischen dem Endgerät und den Unternehmenssystemen, bietet
jedoch keinen Schutz vor Schadsoftware, die sich bereits auf dem Laptop
befindet. Ein Keylogger kann beispielsweise Zugangsdaten direkt bei der Eingabe
erfassen, während ein Screengrabber Bildschirminhalte aufzeichnet und so
vertrauliche Informationen abgreifen kann. "Ein sicherer Übertragungsweg hilft
am Ende wenig, wenn das Gerät selbst nicht vertrauenswürdig ist", verdeutlicht
Joachim Reinke von einfachISO.
Weitere Schwierigkeiten entstehen, wenn ein privates Gerät verloren geht oder
ein Mitarbeiter das Unternehmen verlässt. Einen zentral verwalteten Firmenlaptop
kann das Unternehmen in solchen Fällen sperren oder bei Bedarf aus der Ferne
löschen. Bei privaten Geräten ist das deutlich schwieriger, insbesondere wenn
geschäftliche Dokumente in persönlichen Downloadordnern, privaten Cloudspeichern
oder automatischen Backups gelandet sind. Dann lässt sich möglicherweise nicht
mehr vollständig nachvollziehen, wo die Daten gespeichert wurden und wie sie
zuverlässig entfernt werden können.
Nicht jedes Privatgerät ist gleich gefährlich: Warum die Nutzung entscheidend
ist
Trotz dieser Risiken müssen Unternehmen die Nutzung privater Geräte nicht
grundsätzlich verbieten. Entscheidend ist vielmehr, welche Aufgaben Mitarbeiter
damit erledigen und auf welche Informationen sie zugreifen können. Wer auf
seinem privaten Smartphone lediglich einen Termin einsieht oder eine
Reisekostenabrechnung freigibt, geht ein anderes Risiko ein als ein
Administrator, der von seinem privaten Gaming-PC aus auf zentrale
Unternehmensserver zugreift.
"Grundsätzlich gilt: Je weniger Kontrolle ein Unternehmen über ein privates
Gerät hat, desto stärker muss es begrenzen, welche Daten, Tätigkeiten und
Zugriffe über dieses Gerät überhaupt möglich sind", erklärt Joachim Reinke von
einfachISO. Einfache Tätigkeiten mit begrenzten Zugriffsrechten können unter
geeigneten Sicherheitsvorkehrungen durchaus auf privaten Geräten stattfinden.
Sobald Mitarbeiter jedoch mit besonders sensiblen Daten arbeiten, weitreichende
Zugriffsrechte benötigen oder regelmäßig umfangreiche Aufgaben erledigen, ist
ein zentral verwaltetes Firmenendgerät meist die sinnvollere Wahl.
Wie Unternehmen die Nutzung privater Geräte technisch absichern können
Welche Maßnahmen für den sicheren Einsatz privater Geräte sinnvoll sind, hängt
davon ab, wie diese im Arbeitsalltag genutzt werden. Sollen Mitarbeiter
beispielsweise nur einzelne geschäftliche Anwendungen auf ihrem Smartphone
verwenden, kann Mobile Application Management dabei helfen, diese Apps und die
darin enthaltenen Unternehmensdaten vom privaten Bereich zu trennen. Für
umfangreichere Tätigkeiten bieten sich dagegen virtuelle Arbeitsplätze an, etwa
über eine Virtual Desktop Infrastructure. Dabei werden Programme und Daten in
einer zentral verwalteten Umgebung bereitgestellt, sodass sie nicht direkt auf
dem privaten Gerät gespeichert werden müssen.
Ergänzend können Unternehmen den Zugang zu ihren Systemen durch eine starke
Mehrfaktorauthentifizierung absichern und Geräte ausschließen, die bestimmte
Sicherheitsanforderungen nicht erfüllen. Je nach Schutzbedarf lassen sich
außerdem Downloads, das Kopieren von Inhalten über die Zwischenablage oder
Druckfunktionen einschränken. Auch geschäftliche Benutzerkonten, Cloudspeicher
und Backups sollten klar von privaten Bereichen getrennt bleiben. Das
erleichtert nicht nur die Kontrolle im laufenden Betrieb, sondern auch den
Umgang mit Unternehmensdaten, wenn ein Mitarbeiter ausscheidet. Zugänge können
gesperrt und geschäftliche Daten gezielter entfernt werden, ohne zunächst klären
zu müssen, wo diese überhaupt gespeichert wurden.
"Informationssicherheit darf nicht davon abhängen, dass im Alltag schon alles
gutgehen wird. Wenn Unternehmen private Geräte zulassen, müssen sie auch
kontrollieren können, welche Zugriffe darüber möglich sind und wo ihre Daten
landen", fasst Joachim Reinke zusammen.
Sie möchten wissen, ob die Nutzung privater Geräte in Ihrem Unternehmen
ausreichend abgesichert ist? Dann melden Sie sich jetzt bei Joachim Reinke und
dem Team von einfachISO (https://einfachiso.de/) und sichern Sie sich einen
Termin für ein unverbindliches Erstgespräch!
Pressekontakt:
einfachISO GmbH
Vertreten durch: Jörn Bungartz, Joachim Reinke
E-Mail: mailto:info@einfachiso.de
Website: https://einfachiso.de/
Weiteres Material: http://presseportal.de/pm/182384/6378556
OTS: einfachISO GmbH
|
