Jedes zehnte Unternehmens-Smartphone ist gehackt

Mobile Unternehmensdaten werden in letzter Zeit zunehmend durch Attacken gegen mobile Apps und Betriebssysteme gefährdet. Viele Unternehmen sind für den Kampf gegen die aktuellen Bedrohungen mobiler Geräte jedoch nicht gewappnet. MobileIron stellte in einer Untersuchung fest: Jedes zehnte Unternehmen hat mindestens ein gefährdetes Gerät, das auf Unternehmensdaten zugreift, und mehr als 53 Prozent haben mindestens ein Gerät, das die Unternehmenssicherheitsrichtlinien verletzt.

„Da immer mehr Geschäftsprozesse mobil verfügbar sind, halten sich Hacker an die mobilen Apps, um aus der Unfähigkeit der Unternehmen, Bedrohungen im Mobilbereich zu entdecken und abzuwehren, Kapital zu schlagen“, sagt Mike Raggo, Director of Security Research bei MobileIron.

Die Produktivkraft der Mobile IT kann nur dann zur vollen Wirkung gebracht werden, wenn Kern-Geschäftsprozesse mobil verfügbar gemacht werden. Umfangreiche Ökosysteme von Drittanbieter-Apps bieten den Unternehmen fertig konfektionierte leistungsfähige mobile Werkzeuge.

Die Spitzenreiter bei den Drittanbieter-Apps:

1. Salesforce
2. Goodreader
3. Microsoft Office Suite
4. Cisco AnyConnect
5. Box
6. Cisco Webex
7. Skype for Business
8. Google Docs
9.  Evernote
10. Xora Mobile Worker

Die Top-Ten-Liste der „schwarzen Schafe“ unter den Consumer-Apps:

Mitarbeiter speichern mitunter Unternehmensdokumente auf „persönlichen“, sprich: aus der Consumerwelt stammenden Speicher- und Sync-Apps (Enterprise File Sync and Sharing, EFSS), sodass sensible Unternehmensdaten nicht mehr durch die im Unternehmen etablierten Sicherheitsmechanismen geschützt sind. Fünf der zehn Top-Consumer-Apps, die die MobileIron-Kunden für ihre Mitarbeiter in der Regel sperren, sind EFSS-Apps:

1. Dropbox (EFSS)
2. Angry Birds
3. Facebook
4. OneDrive (EFSS)
5. Google Drive (EFSS)
6. Box (EFSS)
7. Whatsapp
8. Twitter
9. Skype
10. SugarSync (EFSS)

„Consumer-Versionen von EFSS-Apps können IT-Abteilungen das Fürchten lehren, da auf diese Art Unternehmensdaten leicht in falsche Kanäle geraten können. Glückicherweise sind von vielen dieser Apps Unternehmens-Versionen verfügbar“, sagt Raggo und er ergänzt: „Unternehmen können ihren Mitarbeitern durchaus das gewohnte Nutzererlebnis gewähren, ohne dass sie die Unternehmensdaten in Gefahr bringen, aber dazu ist in den Unternehmen ein Umdenken notwendig, und zwar weg vom unflexiblen Verbieten und hin zu einem flexiblen Ausschöpfen der Möglichkeiten.“

Der Benutzer hat die Kontrolle – nicht der Administrator

Viele Unternehmen waren auf die Angriffe auf mobile Apps und Betriebssysteme in jüngster Zeit nicht vorbereitet. So sammeln beispielsweise iOS-Apps, die mit der Schadsoftware XcodeGhost infiziert wurden, Geräteinformationen, verschlüsseln sie und laden sie dann auf Server hoch, die von Kriminellen betrieben werden.

FireEye, ein Spezialist für Schadsoftware-Erkennung, identifizierte mehr als 4.000 infizierte Apps im App Store. Und die Firma Appthority, die auf das Risikomanagement bei mobilen Apps spezialisiert ist, fand heraus, dass jede Organisation mit einem Bestand von 100 iOS-Mobilgeräten aufwärts mindestens ein infiziertes Gerät hatte.

Die Herausforderung bei mobilen Geräten und Apps bestehe darin, dass zunächst einmal der Benutzer – und nicht der IT-Administrator – die Kontrolle über das Gerät hat. Es gebe nun eine Reihe von Gründen, warum Geräte nicht den betrieblichen und gesetzlichen Vorgaben entsprechen. So geht beispielsweise die Übereinstimmung mit diesen Vorgaben (Compliance) verloren, wenn
– der Benutzer Hardware, Firmware oder Software eines Geräts manipuliert (Jailbreak bei iOS, Geräte-Root bei Android),
– oder das Gerät mit einer alten Betriebssystem-Version läuft, die von der IT-Administration nicht mehr unterstützt wird,
– oder der Benutzer eine App installiert hat, die von der IT-Abteilung nicht zugelassen ist.

MobileIron fand heraus, dass

• unter 10 Geräten, die auf Unternehmensdaten zugreifen, im statistischen Mittel immer wenigstens eines ist, das nicht den betrieblichen und rechtlichen Vorgaben entspricht, und
• mehr als 53 Prozent der Unternehmen mindestens ein Endgerät im Einsatz haben, das nicht den vom Unternehmen festgelegten Sicherheits-Vorgaben entspricht.

 Die Hauptgründe, warum Geräte nicht den betrieblichen und rechtlichen Vorgaben entsprechen

• Das Gerät hat keinen Kontakt mehr mit der EMM-Plattform.
• Die Administratorenrechte wurden deaktiviert, sodass die EMM-Lösung nicht mehr „remote“ Aktionen auf dem Gerät anstoßen kann.
• Das Gerät verfügt nicht über Regeln, auf deren Basis eine bestimmte App gesperrt, angefordert oder erlaubt werden kann.

Das Fazit von MobileIron: Die Unternehmen von heute verfügen zwar über viele verschiedene Sicherheitstechnologien, die jedoch selten voll integriert sind. Selbst wenn das der Fall ist, lieferten sie selten Informationen über Mobilgeräte und mobile Apps. Da immer mehr Arbeiten auf Mobilgeräten erledigt und immer mehr Unternehmensdaten in Apps und Clouds verlagert werden, müssen die Unternehmen sicherstellen, dass sie gegen interne und externe Bedrohungen geschützt sind.