IT-Sicherheit: Homeoffice öffnet neue Einfallstore für Hacker
Erektionsstörungen sind stark tabuisiert, betroffene Männer nehmen zunehmend telemedizinische Angebote wie von Wellster Healthtech wahr.
Foto: imago images/Westend61Düsseldorf. Es ist die Horrorvorstellung für jedes Unternehmen: Hacker verschaffen sich Zugang zum Firmennetzwerk, stehlen vertrauliche Informationen oder legen in erpresserischer Absicht den gesamten Betrieb lahm. Um das zu verhindern, schützen Unternehmen ihre internen Netzwerke mit verschlüsselten Verbindungen, Antiviren-Programmen und Firewalls vor dem Zugriff durch Unbefugte.
Doch jetzt, wo angesichts der rasanten Ausbreitung des Coronavirus immer mehr Unternehmen ihre Mitarbeiter im Eiltempo ins Homeoffice schicken, droht die IT-Sicherheit nach Ansicht von Experten auf der Strecke zu bleiben: „Viele Unternehmen werden jetzt eher auf notwendige Cybersecurity-Maßnahmen verzichten, als ihr Geschäftsmodell in Gefahr zu bringen“, glaubt Martin Eiszner, Technikchef des IT-Sicherheitsspezialisten SEC Consult.
Konkret heißt das: „Mitarbeiter im Homeoffice könnten in dieser Notsituation die Möglichkeit erhalten, sich leichter mit dem Firmennetzwerk zu verbinden, als das sonst der Fall gewesen wäre“, glaubt Uwe Gries, Country Manager für den deutschsprachigen Raum bei der Airbus-Tochter Stormshield.
Viele Unternehmen nutzen eine sogenannte Virtual-Private-Network-Verbindung (VPN), um berechtigten Computern Zugriff auf das Firmennetzwerk von außen zu gewähren. Hierbei handelt es sich um eine verschlüsselte Verbindung, über die die Mitarbeiter ins Firmennetzwerk gelangen, oft auch als Tunnel bezeichnet. Das ist notwendig, um beispielsweise interne Anwendungen nutzen zu können.
„Es könnte jetzt allerdings sein, dass Unternehmen gar nicht genug lizensierte VPN-Zugänge für alle Mitarbeiter haben“, sagt Gries. Zudem habe nicht jeder Mitarbeiter, der nun im Homeoffice arbeiten muss, auch ein firmeneigenes Notebook.
Die Folge: Unternehmen dürften aufgrund des Zeitdrucks zu Maßnahmen gezwungen sein, von denen IT-Sicherheitsexperten abraten: „Im Zweifel werden die Systeme auch ohne VPN-Zugang für alle Mitarbeiter freigeschaltet, da sonst niemand arbeiten könnte. Es wird da zu einer gewissen Panikreaktion kommen und die Sicherheitslevel werden wahrscheinlich gesenkt werden“, glaubt Eiszner.
Mitarbeitern, die kein Dienst-Notebook haben, könnte im Homeoffice die Nutzung von privaten Geräten erlaubt werden, um die betrieblichen Abläufe nicht zu gefährden. Und gerade das ist ein potenzielles Einfallstor für Hacker: Ein nicht ausreichend gesicherter, von Schadsoftware befallener privater PC könnte sich mit dem Firmennetzwerk verbinden und so Cyberkriminellen Zugang zu sensiblen Informationen oder Dateien gewähren.
„So kann die Schadsoftware die Barriere überspringen“, warnt Gries. In diesem Fall biete selbst ein VPN-Tunnel keinen Schutz: „Ein Virus auf dem heimischen PC kann problemlos durch den VPN-Tunnel ins Firmennetzwerk gelangen“, sagt Gries.
Private und berufliche Gerätenutzung trennen
Er rät von der Nutzung von privaten Geräten im Homeoffice grundsätzlich ab. Sein Tipp, wenn es gar nicht anders geht: „Wenn man im Notfall gezwungen ist, privates Equipment zu benutzen, dann ist es wichtig, dass der Mitarbeiter dafür sorgt, dass alle genutzten Programme auf dem neuesten Stand sind und der aktuellste Virenschutz eingesetzt wird.“
Und: „Während man sich mit dem Firmennetzwerk verbindet, sollte man alle privaten Aktivitäten im Hintergrund einstellen. Der Klassiker ist, dass man über VPN ins Firmennetzwerk eingebunden ist und im Hintergrund über den Browser seine privaten E-Mails checkt“, sagt Gries.
Es sei in diesem Fall denkbar, dass der Mitarbeiter einen infizierten E-Mail-Anhang öffnet und sich dann Schadsoftware einfängt, welche dann wiederum ins Firmennetzwerk gelangt. „Virenverseuchte Corona-Karten kursieren ja bereits. Phishing-Attacken mit Corona- und Covid-19-Bezug dürften im Moment sehr gut funktionieren“, ergänzt Eiszner.
IT-Administratoren können Firmen-Notebooks so konfigurieren, dass ausführbare Dateien, die Schadsoftware enthalten könnten, vom Nutzer gar nicht geöffnet werden können. „Auch eine Verschlüsselung der Festplatte kann man über eine Gruppenrichtlinie auf Windows-PCs verbieten. Das bietet Schutz vor Schadsoftware wie WannaCry“, erklärt Gries. Diese Möglichkeit habe der Administrator auf einem privaten PC nicht, da er keinen Zugriff darauf habe.
Generell raten sowohl Eiszner als auch Gries von Lösungen ab, die auf VPN verzichten und außerdem keine Multi-Faktor-Authentifizierung unterstützen, also bei der Anmeldung neben Nutzername und Passwort eine weitere Absicherung wie einen zusätzlichen Code fordern. „Die klassische Webmail-Lösung oder andere Webservices, die über das Internet erreichbar sind und nur eine Nutzername-Passwort-Kombination erfordern, sind generell als unsicher anzusehen“, sagt Eiszner.
Für empfehlenswert hält Eiszner sogenannte Zero-Trust-Modelle. Hierbei handelt es sich um Sicherheitskonzepte, die auf dem Grundsatz basieren, keinem Gerät, Nutzer oder Dienst innerhalb oder außerhalb des eigenen Netzwerks zu vertrauen. Damit verbunden sind umfangreiche Maßnahmen zur Authentifizierung sämtlicher Anwender und Dienste sowie zur Prüfung des Netzwerkverkehrs.
Cloud-Dienst statt VPN-Zugang
Stormshield-Manager Gries empfiehlt zudem virtuelle Unternehmensplattformen in der Cloud, da diese den Vorteil hätten, dass man auch mit einem privaten Gerät von überall auf sie zugreifen könne. „Unser Spesentool ist in der Cloud. Das hat Riesenvorteile“, sagt Gries.
Man habe hier durch eine Art von Outsourcing von Business-Prozessen in die Cloud ein Stück Sicherheit gewonnen. „Wenn das Spesentool kompromittiert worden wäre, wäre das natürlich schlimm, aber auch nicht so schlimm, dass das Unternehmen gefährdet wäre“, erklärt Gries.
Eine Kombination aus Zero-Trust-Konzept und Cloud-Lösung bietet die kalifornische Security-Plattform Zscaler. Das Unternehmen, das nach eigenen Angaben den globalen Datenverkehr von mehr als 75.000 Mitarbeitern von DB Schenker in mehr als 80 Ländern sichert, hat derzeit viel zu tun: „Vor ein paar Wochen rief uns einer unserer großen Kunden an und bat uns, allen seinen Mitarbeitern in China den Zugang zu internen Anwendungen von zu Hause aus zu ermöglichen“, berichtet Zscaler-CEO Jay Chaudhry.
In den darauffolgenden Tagen und Wochen hätten sich dann auch Unternehmen aus Deutschland, Großbritannien und den USA mit der gleichen Bitte gemeldet. Die Zugriffszahlen für die Zscaler-Cloud-Security-Plattform in China seien seitdem um das Zwölffache gestiegen, weltweit betrachtet habe sich der Datenverkehr verdreifacht.
Zscaler ersetzt das VPN-Modell durch eine reine Software-Lösung, die über die Cloud verwaltet wird. Der Ansatz ist folgender: Anstatt Nutzern das gesamte Firmennetz zu öffnen, verbindet der Zscaler-Dienst sie nur mit den Anwendungen, auf die sie Zugriff haben dürfen. Das funktioniert komplett ohne VPN oder Firewalls.
Und so verwundert es nicht, dass Chaudhry bereits das nahende Ende von lokalen Netzwerken, WLAN und Firewalls ausruft: „Sobald sich 5G auf breiter Front etabliert hat, wird die Internetverbindung via Smartphone oder PC viel schneller sein als über das klassische Netzwerk.“ Heutzutage sei das Internet zum Unternehmensnetzwerk geworden, die öffentliche Cloud zum Rechenzentrum. „Uns ist es egal, von wo aus der Zugriff unserer Kunden erfolgt – ob aus der Firmenzentrale, einer Zweigstelle oder einem Café“, sagt Chaudhry.