Vertraulichkeit in der mobilen Kommunikation - Eine Aufgabe für jedes Unternehmen

© Jörn-Axel Meyer, David Ehmke Deutsches Institut für kleine und mittlere Unternehmen Vertraulichkeit in der mobilen Kommunikation - Eine Aufgabe für jedes Unternehmen Vertraulichkeit – Ein wachsendes „Problem“ in Zeiten boomender mobiler Kommunikation Unternehmen müssen nicht nur aus Eigeninteresse heraus, sondern auch wegen gesetzlicher Vorschriften und dem Schutze der eigenen Mitarbeiter, Kunden und Geschäftspartner vertrauliche Informationen vor dem Zugriff Dritter schützen. Denn derartige Informationen finden nur zu oft großes Interesse bei Wettbewerbern, Staat, Öffentlichkeit und auch manchen Mitarbeitern. Auf der anderen Seite werden – nicht zuletzt durch moderne elektronische Kommunikationstechnologien – zunehmend Informationen über die Unternehmensgrenzen hinweg transportiert, sind für Mitarbeiter wie Geschäftspartner mobil verfügbar und werden auch mobil miteinander ausgetauscht. Informationen sind via Handy und Internet nahezu überall verfügbar und werden auch von überall her genutzt. Damit steigt die Gefahr, dass vertrauliche Informationen (unbefugten) Dritten zugänglich sind und von diesen zufällig oder sogar gezielt genutzt werden. Gelegenheiten, dass Informationen verloren gehen können, gibt es reichlich – die Leckagen der mobilen Kommunikation: z. B. das Mithören von Telefonaten am Handy und von persönlichen Gesprächen in Reisezügen oder Wartebereichen von Flughäfen, im Café liegen gelassene Unterlagen, abgefangene Informationen in WLAN-Netzen, fehlgeleitete SMS und Faxsendungen und auch der Verlust von klassischen Briefsendungen. Moderne Smartphones arbeiten im Internet wie ein Laptop – doch während letztere umfangreich mit Firewall und Virensoftware gesichert werden, sind sich viele Smartphonbesitzer nicht bewusst, dass dies auch bei ihrem Handy so sein müsste. Dabei sind die modernen Formen der mobilen Kommunikation – Tele- und Internetkommunikation – nicht von den klassischen Kommunikationsformen außerhalb und über die Unternehmensgrenzen hinweg zu trennen. Auch bei persönlichen Gesprächen im öffentlichen Raum, bei Präsentationen in Hotels, bei der persönlichen Übergabe von Materialien und Datenspeichern z. B. auf Tagungen oder bei Kunden können ungewollt Informationen verloren gehen: Überall treten „Leckagen“ auf, über die Informationen an unbefugte Dritte gelangen können. Dabei entstehen diese Leckagen nicht nur durch die Technik bzw. fehlendem Schutz vor Missbrauch, sondern auch durch das Verhalten der Mitarbeiter – wenn sie zu laut am Flughafen telefonieren oder gar ihren Laptop verlieren. Welche Leckagen sind für die Unternehmen besonders bedrohlich? Die Schäden, die aus dem Verlust vertraulicher Informationen erwachsen können, sind vielfältig. So ist es zum einen der Image- und Vertrauensverlust bei Mitarbeitern, Kunden, Partnern, Lieferanten und in der Öffentlichkeit, zum anderen gelangen u. U. Konkurrenten an strategische Informationen des Unternehmens. Daraus können rechtliche Haftungen entstehen, wie auch der Verlust von Kunden und damit von Umsatz und Gewinn. So lag in einer Studie vom Ponemon Institut aus dem Jahre 2006 der Prozentsatz abgewanderter Kunden nach einer Datenpanne im Gegensatz zu einem Vergleichszeitraum um durchschnittlich 3,24% höher. Schließlich muss die Leckage geschlossen und der „Fall“ in der Öffentlichkeit kommunikativ bearbeitet werden. Dies alles führt zu zusätzlichen Kosten, wie auch die u. U. notwendig werdenden Neuentwicklungen von Produkten und Produktionsprozessen, wenn geheime Informationen hierzu verlustig gehen. Wie groß der Schaden jeweils wird, ist kaum zu prognostizieren. Wohl aber können deutsche Unternehmen die Gefahren, die für sie von der Verletzung der Vertraulichkeit in der mobilen Kommunikation ausgehen, gut einschätzen – wenn ihnen die Leckage denn bewusst wird. Mehrere Untersuchungen des Deutschen Institutes für kleine und mittlere Unternehmen e.V. (DIKMU) im Sommer 2010 legen offen, welche Bedrohungen aus den Leckagen die Unternehmen sehen und welche Leckagen besonders bedrohlich sind. Die größte Bedrohung geht aus vom: Mithören/-schneiden von Telefonaten im öffentlichen Raum, Phishing, Mithören von Gesprächen im öffentlichen Raum (z. B. Flugzeug, Zug, Café, Präsentation), Aufzeichnen des Datenflusses aus ungesicherten WLAN-, UMTS-, GPRS- und Bluetooth-Verbindungen, Mitlesen im öffentlichen Raum, (z. B. Flugzeug, Zug, Café, Outdoor- Präsentation) und Auslesen von verlorenen/gestohlenen Laptops, Smartphones, Sticks etc. Hingegen stellen folgende Leckagen die geringste Bedrohung und damit Bedeutung für die Unternehmen dar: Auslesen von liegen gebliebenen von nichtelektronischen Unterlagen im nichtöffentlichen Raum (Büro, privat) „Abhören“/Mitschneiden von VoIP-Kommunikation Abfangen von umgeleiteten SMS ohne Weiterleiten Mitlesen von SMS Mitlesen von FTP-Datensendungen Auslesen von umgeleiteten FTP-Sendungen Schutzmaßnahmen sind notwendig – werden aber selten genutzt Obwohl sich für die Unternehmen ein steigender Bedarf zum Schutze der Vertraulichkeit in der mobilen Kommunikation ergibt und die Unternehmen die Gefahren der Leckagen gut einschätzen können, werden Schutzmaßnahmen selten systematisch angewendet. Während der Schutz des Computers bei der Internetnutzung im Privaten wie im Beruflichen gängige Praxis ist, ist die Sensibilisierung für den Schutz mobiler Kommunikation gerade in kleinen und mittleren Unternehmen noch wenig vorgedrungen wie die jüngste Studien des DIKMU aus dem Sommer 2010 zeigen – und dies trotz spektakulärer, öffentlich gewordener Diskretionsverstöße: 32% der Unternehmen wissen nicht, ob ihnen bereits schon mal vertrauliche Informationen verloren gingen, 28% wissen nicht, ob ihnen schon mal ein Handy im Betrieb verloren ging und nur 46% geben ihren Mitarbeitern Richtlinien, nur 27% schulen sie im Schutz vertraulicher Informationen. Gerade die Mitarbeiter scheinen sich wenig über die Gefahren des Mithörens, des Mitlesens oder fehlgeleiteter SMS, Emails oder Faxsendungen bewusst zu sein. So werden die Gefahren und Leckagen in deutschen Unternehmen, gerade den kleinen darunter, nur selten bekannt und bewusst, Schutzmaßnahmen werden noch zu wenig ergriffen. Dabei stehen vielfältige Maßnahmen zur Verfügung – sowohl mit (IT)technischen Mitteln als auch durch Sensibilisierung und Änderung des Verhaltens der Mitarbeiter: Einsatz von Software (u. a. Zugangsschranken, Verschlüsselung und Identity Management Software, Firewalls und Virensoftware). Datensicherung: Umfasst jegliche Formen der Datensicherung auf den mobilen Geräten, i. d. R. auch Softwareunterstützung. „Mechanische“ und „bauliche“ Maßnahmen: u. a. Sichtschutzen(folien), Laptopketten, Handy-Etuis, Handytelefonzelle. Richtlinien, verbindliche Verhaltensvorgaben für die Mitarbeiter. Mitarbeiterschulung und Workshops. Der Einsatz eines spezifischen Sicherheitsbeauftragten. Bedarf für ein „Management der Vertraulichkeit“ Es bedarf nicht nur erhöhter Sensibilisierung der Unternehmen und ihrer Mitarbeiter für den Schutz vertraulicher Informationen, sondern auch eines durchdachten Managements, in dem alle im Unternehmen auftretenden oder denkbaren Leckagen erfasst und ein systematischer Katalog von Schutzmaßnahmen erstellt und im Unternehmen angewendet wird. Denn so vielfältig wie die Leckagen und ihre Anlässe, so vielfältig sind auch die Schutzmaßnahmen. Da reicht es nicht aus, hier und da mit einigen Maßnahmen nachzubessern. Vielmehr sind im Unternehmen systematisch die Leckagen zu identifizieren und geeignete Maßnahmen, auch übergreifend auszuwählen und zu installieren. Zusätzlich ist nach diesem einmaligen oder regelmäßig zu wiederholenden Vorgang die Umsetzung und Einhaltung der Schutzmaßnahmen kontinuierlich zu kontrollieren. Alles zusammen führt zu einem Planungs-, Anwendungs- und Kontrollprozess des Managements der Vertraulichkeit (in der mobilen Kommunikation). Auf der Basis von nicht weniger als vier umfangreichen empirischen Untersuchungen bei Unternehmen und in der Öffentlichkeit hat das Deutsche Institut für kleine und mittlere Unternehmen e.V. – unterstützt durch die Telefonica O2 als Kompetenzpartner in Sachen mobile Kommunikation und Technik – ein Managementkonzept entwickelt. Es gibt den Unternehmen eine Anleitung, systematisch das Gesamtproblem des Schutzes der Vertraulichkeit in der mobilen Kommunikation zu erfassen und zu lösen. Es umfasst drei zentrale Schritte*: 1. Situations- und Risikoanalyse, in der die Fragen beantwortet werde, welche mobilen Geräte im Unternehmen für die Kommunikation genutzt werden und welche Personen diese Geräte zu welchem Zweck einsetzen, welche Personen (mobile) persönliche / postalische Kommunikation für welche Aufgaben, an welchem Ort und zu welchem Zeitpunkt betreiben und welche Informationen mit welcher Vertraulichkeit im Unternehmen typischerweise dabei betroffen sind. Dazu ist in einem Katalog festzuhalten, welche Leckagen dabei auftreten können und ggf. welche Folgen dies für das Unternehmen haben kann. 2. Wahl der Schutzmaßnahmen: Dabei ist zunächst ein übergreifende Konzept zum Schutze der Vertraulichkeit zu entwickeln (z. B. unternehmensübergreifende Sicherheitsvorschriften und Verhaltensregeln, Zugangsberechtigungskonzepte und in sich geschlossenes Konzept für Sicherheitssoftware). Innerhalb dessen ist für jede Leckage eine Schutzmaßnahme (s. o.) festzulegen und im Unternehmen zu installieren. 3. Regelmäßige Erfolgskontrolle der Maßnahmen und ihrer Umsetzung, d. h.: Werden die Schutzmaßnahmen und Verhaltensregeln im Unternehmen auch kontinuierlich umgesetzt? Daneben sollten auch die Schutzmaßnahmen selbst auf den Prüfstand kommen, also der Erfolg der Maßnahme zum Schutz der Vertraulichkeit.