Autor – Enno Lückel, Geschäftsführer der NSi Europe GmbH
315.000 neue Schadprogramme pro Tag: Diese schier unglaubliche Anzahl wehrte Kaspersky Lab durchschnittlich in 2013 ab und vermeldet einen Anstieg von mehr als 57 Prozent gegenüber dem Vorjahr. Der ernst zu nehmende Cybercrime wuchs so immens innerhalb der letzten zwei Jahre, dass „ein neuer Angriff nur noch selten Verwunderung auslöst“, wie der Antiviren-Softwarehersteller vermeldet. [1]
Während das abgehörte Handy von Angela Merkel erst langsam, aber dann doch hohe Wellen schlug, ist von IT-Attacken gegenüber Unternehmen selten die Rede. Dabei schätzen die Berater von Ernst & Young den wirtschaftlichen Schaden durch Datenklau auf 20 bis 50 Milliarden Euro für das Jahr 2013. „Nach unserer Erfahrung hat jedes Unternehmen mit solchen Problemen zu kämpfen – keineswegs nur Großkonzerne“, sagt Dr. Stefan Heißner, Leiter der Abteilung Fraud Investigation & Dispute Services bei der Ernst & Young GmbH Wirtschaftsprüfungsgesellschaft.
Unterschiedliche Angriffsziele
An erster Position steht laut Kaspersky der Diebstahl von Unternehmensdaten und Geschäftsgeheimnissen, gefolgt von Datenvernichtung und Blockierung der Infrastruktur. In einer Studie des Sicherheitsexperten gaben 91 Prozent der befragten Unternehmen an, mindestens ein Mal im Jahr angegriffen worden zu sein.
Die Gefahr lauert allerdings nicht nur außerhalb sondern auch innerhalb des Unternehmens: Schon allein der Datenverlust durch falsch abgelegte Dokumente wirkt sich negativ aus, wobei längere Suchzeiten das geringere Problem sein dürften. Schlichte menschliche Fehler wie z. B. das Versenden wichtiger Dokumente an den falschen Adressaten oder schlimmstenfalls Sabotageakte durch frustrierte oder entlassene Mitarbeiter bergen ein Potenzial, mit dem sich zu wenige Firmen beschäftigen. Während die einen in Folge eines Angriffs „nur“ gegen einen Vertrauens- bzw. Imageverlust bei den Kunden bzw. in der Öffentlichkeit kämpfen, müssen sich z. B. Maschinen- und Anlagenbauer mit dem Schutz ihrer Entwicklungen beschäftigen, um durch Spionage keinen empfindlichen Rückschlag im Wettbewerb zu erfahren.
Sicherheitsmaßnahmen für alle Geräte
Wenn sich die eigene IT-Security mit dem Schutz vor Datendiebstahl beschäftigt, stehen Computer im Vordergrund – insbesondere Notebooks und andere mobile Geräte. Schließlich kann man darüber am besten, sprich unbemerkt, sensible oder geschäftskritische Daten per E-Mail versenden. Standardfaxgeräte und -kopierer haben an Bedeutung verloren, weil die Nutzung für den Datendiebstahl ungleich komplizierter ausfällt.
Multifunktionsgeräte (MFPs) als zentrale Stelle, an der wichtige Dokumente gescannt, kopiert und ausgedruckt werden, verfügen über ein komplexes Computersystem mit Festplatte und einen Netzwerkanschluss zum internen Datenaustausch. Werden zudem Funktionen wie Send-to-E-Mail mit Adressen außerhalb des Intranets genutzt, so wird eine direkte Verbindung ins Internet eingerichtet – und damit die Möglichkeit geschaffen, ebenso elegant Datendiebstahl zu betreiben, wie über den eigenen PC.
Dies scheinen nur wenige Sicherheitsexperten zu bedenken. Nach den Erfahrungen von Notable Solutions werden sämtliche IT-Geräte am Arbeitsplatz berücksichtigt – bis auf MFPs. Dabei bieten sie selbst bzw. in Ergänzung mit gängigen Tools diverse Funktionen, um sensible Daten zu schützen. Die Features lassen sich in drei verschiedene Bereiche einteilen:
• Information im Fluss: Der Datentransfer z. B. vom MFP zum definierten Zielsystem stellt Anforderungen an die Sicherheit des Netzwerkes wie Verschlüsselung und gesicherte Datenleitung.
• Information im Arbeitsgang: Bei vielen klassischen Geschäftsvorgängen werden Dokumente gescannt und kopiert, an andere übergeben und an neuen Orten gespeichert. Um Manipulation zu vermeiden, sollte geklärt sein, wer was lesen bzw. bearbeiten darf, wie sensible Dokumente beim Ausdrucken geschützt werden können, wie sich fehlerhafte Eingaben für Faxnummern oder E-Mail-Adressen unterbinden lassen und wie sichergestellt werden kann, dass der richtige Empfänger ausgewählt wird.
• Information im Archiv: Für die elektronische Ablage zählen Themen wie Revisionssicherheit, Zugriffsberechtigung und Datenexport.
Praktische Maßnahmen
Um das eigene Unternehmen intern vor Spionage und Datenverlust zu schützen, lässt sich auf die Authentifizierungs-Routine zurückgreifen, die MFPs in der Regel als Standard mitliefern: Der Nutzer muss sich über das Gerät am Netzwerk anmelden – so wird das Gerät vor der Verwendung durch Unbefugte geschützt. Komfortablere Varianten zur Identifikation funktionieren über Smartcards, Fingerabdruck oder Smartphones. Letztere können mit NSi Mobile auch zum Anstoßen von Druckaufträgen genutzt werden, damit sensible Dokumente nicht von anderen gelesen werden, die zufällig gerade am Drucker stehen, um ihren eigenen Ausdruck abzuholen.
Einige Zusatzmodule zur Steigerung der MFP-Produktivität bieten auch Sicherheitsmechanismen. Insbesondere Erfassungs- und Workflow-Lösungen bieten einen Fundus an Features, um den Datenschutz zu erhöhen:
• Durchgängiges Berechtigungskonzept: Auch auf dem Display kann der Nutzer durch die Ordnerstruktur im Netzwerk navigieren und Dateien auswählen. Ebenso wie am Arbeitsplatz zeigt auch der MFP nur jene Inhalte an, die den jeweiligen Zugriffsrechten entsprechen.
• Auswahl-Vorgabe: Intelligente Bedienhilfen schlagen je nach Dokumententyp passende Ordner, Dateinamen und Indexdaten vor, die der Anwender per Knopfdruck bestätigt. Das reduziert manuelle Dateneingaben und damit potenzielle Fehler, die z. B. zu Falschablagen führen.
• Verschlüsselung: Um den unerlaubten Datenabgriff während des Transports zu vermeiden, wird eine Datei am MFP über verschiedene Algorithmen verschlüsselt und erst am Zielsystem entschlüsselt.
• Passwort-Schutz: Ergänzend zur Verschlüsselung lassen sich PDF-Dokumente direkt beim Erzeugen mit einem Passwort belegen, das nur autorisierte Nutzer kennen. Andere können das Dokument nicht öffnen.
• Ausgangskontrolle 1: Für Send-to-Fax- oder Send-to-E-Mail-Funktionen schlagen intelligente Bedienhilfen passende Nummern bzw. Adressen vor, überprüfen die Dateneingabe und melden Unstimmigkeiten. Damit lassen sich falsche Faxnummern und E-Mail-Adressen vermeiden.
• Ausgangskontrolle 2: Bei Bedarf lassen sich Filter setzen, die bei definierten Stichworten im Dokument bzw. hinterlegten Wasserzeichen aktiviert werden. Je nach Logik kann ein Nutzer dann nur bestimmte Aktionen auslösen oder dezidierte Zielpersonen bzw. Zielsysteme auswählen.
• eMonitoring: Eine Art Logbuch dokumentiert den Datentransfer sowie die Zugriffe auf MFPs und Dokumente. Dies dient der Beweisführung im Verdachstsfall, muss in Deutschland jedoch zwingend mit dem Betriebsrat abgestimmt werden.
Bild: Das definierte Datenfeld in der Kopfzeile mit dem Eintrag „Secret“ aktiviert einen Workflow, der u. a. einen Filter für ausgehende Faxnummern enthält. Damit lässt sich das am MFP erfasste Dokument nur an bestimmte Faxnummern versenden.
Fazit
Software-Hersteller und Fachhändler sind gefragt, wenn es darum geht, die Unternehmen für potenzielle Bedrohungen im Büroalltag zu sensibilisieren und Möglichkeiten zu deren Entschärfung aufzuzeigen. Wichtig ist dabei, die Akzeptanz bei den Mitarbeitern zu stärken, indem die Maßnahmen auf die internen Arbeitsabläufe abgestimmt werden. Es sind viele Lösungen zur Gefahrenabwehr auf dem Markt vorhanden, die eine große Wirkung entfalten und sich zudem mit geringem Aufwand installieren lassen.
Quellenhinweis
[1] Kaspersky Lab Pressemeldung vom 12.12.2013 (http://newsroom.kaspersky.eu/de
www.notablesolutions.com
Enno Lückel ist Geschäftsführer der NSi Europe GmbH, der EMEA-Vertriebsdivision von Notable Solutions. Das Unternehmen mit Hauptsitz in den USA ist ein führender Software-Anbieter für den sicheren unternehmensweiten Informationsaustausch, um Daten und Dokumente dort verfügbar zu machen, wo sie im Geschäftsprozess benötigt werden. Die Bandbreite unterstützter Geräte ist einmalig am Markt. Fast 20.000 Kunden weltweit nutzen Software des Herstellers, der weltweit über 250 Mitarbeiter beschäftigt.
