Daten auf Smartphones und Tablets schützen

Smartphones und Tablet-Rechner sind für Cyberkriminelle wahre Fundgruben. Denn auf ihnen speichern die Nutzer jede Menge wertvoller Informationen – von Geschäfts­adressen über Umsatzpläne bis hin zu privaten Bankdaten. Um solche Informationen zu schützen, entwickeln IT-Sicherheitsunternehmen sogenannte Container und packen wichtige Daten und Anwendungen in diesen geschützten Bereich auf dem Mobilgerät.

Die mobile Arbeitswelt könnte also aus Sicht der IT-Fachleute einfach sein. Das wäre zumindest dann der Fall, wenn nur eine überschaubare Mitarbeiterzahl von der IT-Abteilung mit entsprechend gesicherten Smartphones, Tablets, Notebooks und Ultrabooks ausgestattet würde. Das hieße: Keinen Ärger mit Kollegen, die ihre privaten Mobilgeräte auch geschäftlich nutzen, keine unterschiedlichen Endsysteme und weniger Probleme damit, einheitliche Sicherheits- und Comp­liance-Regeln für diese Systeme und die darauf befindlichen Daten zu definieren und durchzusetzen. Die Realität sieht jedoch anders aus.

Um Unternehmensdaten und Anwendungen auf Mobilsystemen vor Missbrauch oder Diebstahl zu schützen, gibt es mehrere Optionen. Dazu gehören insbesondere:

Bei einer VDI werden die Anwendungen, Daten und die Desktop-Umgebung zentral in einem Rechenzentrum gehostet. Der Nutzer greift über eine sichere Internetverbindung auf diese Informationen zu. Der Vorteil: Die IT-Abteilung hat die Kontrolle über Anwendungen und Unternehmensdaten, sie kann zentral Datensicherungen vornehmen, Patches einspielen oder neue Versionen von Anwendungen bereitstellen. Zu den Nachteilen zählt, dass eine Verbindung zwischen dem Rechenzentrum und dem Smartphone, Tablet oder Notebook bestehen muss. Außerdem ist es erforderlich, auf den Endsystemen eine angepasste Oberfläche des Desktops bereitzustellen, allein deshalb, weil die Displays unterschied­liche Größen und Auflösungen aufweisen.

„Desktop-Virtualisierung ist das sicherste Mobile-Security-Konzept, weil keine Daten auf dem Gerät verweilen, sondern alles zu 100 Prozent via Streaming zur Verfügung gestellt wird“, sagt Sascha Rosbach, Senior Sales Manager Mobility Central Europe bei Citrix. „In der Realität stellt jedoch die Anforderung, dass der Nutzer stets online sein muss, das praktische mobile Arbeiten selbst infrage. Denn es ist nicht in jedem Fall eine Online-Verbindung verfügbar.“ Rosbach sieht daher in VDI eine „Ergänzung zum mobilen Arbeiten, weil Anwender Standard-Anwendungen direkt in die mobilen Geräte integrieren können, ohne dass eine spezifische Entwicklung von Apps erforderlich ist“.

Die Schwachstellen von Virtualisierung oder VDI-Umgebungen vermeiden mobile Container. Ein Großteil der Anbieter von Mobile-Security-Software hat Container-Lösungen entwickelt oder unterstützt solche Produkte. Dazu zählen Citrix, MobileIron, VMware Airwatch, Good Technology, Samsung, Maas360 (IBM) und Symantec.

Zudem unterstützen auch Globo, PulseSecure, Oracle, Research In Motion (Blackberry), Soti und Sophos diese Form der Absicherung von Daten und Anwendungen auf Smartphones und Tablet-Rechnern.

Ein Container ist ein verschlüsselter Bereich auf einem Smartphone oder Tablet, der mit Hilfe einer speziellen Software eingerichtet wird und nur nach Eingabe eines Passworts zugänglich ist. Vor allem in Unternehmen, in denen Mitarbeiter Mobilgeräte sowohl geschäftlich als auch für private Zwecke nutzen (Bring Your Own Device, BYOD), ist der Einsatz von mobilen Containern sinnvoll.

In ihnen werden Geschäftsdaten und Anwendungen gespeichert, beispielsweise E-Mails und die dazugehörigen Programme, Kontakt- und Kalenderdaten, Browser, Collaboration-Tools und so weiter. Die IT-Abteilung kann diesen Bereich verwalten, also Anwendungen aktualisieren, Sicherheitseinstellungen ändern oder den Container nötigenfalls löschen, etwa wenn ein Mitarbeiter das Unternehmen verlässt.

---

Umgekehrt haben Administratoren keinen Zugang zu den privaten Informationen und Apps des Nutzers, die sich auf dem Endgerät befinden. Das ist aus Gründen des Datenschutzes wichtig. Denn Bundesdatenschutzgesetz und Telemediengesetz untersagen es Arbeitgebern in Deutschland, die private Kommunikation von Arbeitnehmern mitzulesen. Auch die neue Datenschutz-Grundverordnung, die gegenwärtig von den EU-Mitgliedsländern erarbeitet wird, sieht vergleichbare Regelungen vor.

Container sind eine praktikable Alternative zu VDI-Umgebungen. „Containerization ist im Bereich Mobile Security die beste Art, um Geschäftsdaten zu sichern und von privaten Daten zu isolieren“, sagt Stratos Komotoglou, EMEA Product Marketing Manager bei MobileIron. „Neben der Sicherheit und der Verschlüsselung sollte vor allem die native Benutzererfahrung im Vordergrund stehen.“

Die Container müssen demzufolge im Hintergrund arbeiten, auf der Betriebssystemebene. „Der Nutzer darf nicht daran gehindert werden, mit nativen Apps zu arbeiten“, so Komotoglou weiter. Native Applikationen sind beispielsweise Browser, Mail-Clients und Messaging-Apps, die zusammen mit dem Mobilbetriebssystem ausgeliefert werden oder die der Nutzer auf seinem System installiert.

Genau dies können Physical Containers nicht leisten. Sie werden mit Hilfe von Typ-1-Hypervisoren eingerichtet, setzen direkt auf der Hardware des Mobilgeräts auf und führen das Betriebssystem und die Apps als Virtual Machines (VM) aus. Das Resultat sind zwei komplett getrennte Systeme, etwa eines für den privaten Gebrauch und eines für die berufliche Nutzung.

Dieser Ansatz ist in hohem Maß sicher, weil der Nutzer quasi zwei separate Endsysteme auf einem Smart­phone oder Tablet nutzt. Private und geschäftliche Sphäre sind komplett getrennt. Allerdings müssen die Prozessoren der Mobilsysteme und die Betriebssysteme diese Form der Virtualisierung auch unterstützen.

Eine Alternative sind Typ-2-Hypervisoren. Sie werden wie eine App auf dem Endgerät ausgeführt und richten dort eine Sandbox oder eine Art Java Virtual Machine ein. In dieser separaten Umgebung laufen die Unternehmens-Apps und Daten, die nicht mit dem privaten Teil eines Smartphones in Berührung kommen sollen, werden in verschlüsselter Form gespeichert. Vergleichbare Ansätze sind aus dem Desktop-Bereich bekannt, etwa von den Softwareherstellern Parallels und VMware, um beispielsweise auf einem Mac-Rechner Windows oder Linux zu installieren.

Zu den Vorteilen solcher virtuellen Container zählt, dass sie ebenfalls eine strikte Trennung von Arbeits- und privaten Bereichen auf dem Mobilsystem ermöglichen. Administratoren können dies mit Hilfe von Policies regeln. Eine Vorgabe kann beispielsweise untersagen, dass Daten aus dem Unternehmens-Container in den privaten Bereich kopiert werden oder der User Informationen per E-Mail an private Accounts versendet. Ein weiterer Pluspunkt aus Sicht der IT-Abteilung: Für alle Apps lassen sich zentral Sicherheits-Policies festlegen. Das vereinfacht das Management.

Doch dieser One-Size-Fits-All-Ansatz ist auch ein potenzieller Schwachpunkt. Denn er geht davon aus, dass die Apps und Daten im Container nicht manipuliert oder mit Schadcode verseucht wurden. Eine gefährliche App kann somit die Sicherheit des gesamten Containers kompromittieren.

---

Ein weiterer möglicher Schwachpunkt betrifft die Handhabung: Je nachdem wie ein Anbieter seine Container-Lösung designt hat, kann der Zugriff auf Applikationen und Daten im Container gewohnte Arbeitsabläufe beeinträch­tigen. Bei der Anwendung von Samsung Knox Workspace beispielsweise funktioniert der Wechsel relativ einfach, indem der User die entsprechende Schaltfläche antippt. Allerdings ist auch in diesem Fall beim Wechsel vom privaten Bereich zum Unternehmens-Container eine Authentifizierung des Nutzers erforderlich.

Florian Bienvenu, Vice President Central & Southern EMEA bei Good Technology, plädiert folglich für eine möglichst komfortable Container-Umgebung: „Dual-Persona-Ansätze, bei denen der Benutzer sich jedes Mal neu anmelden muss, wenn sich die persönliche und die Arbeitswelt kreuzen, weisen Nachteile auf“, erläutert er. „Vielleicht schreibt ein User eine E-Mail an seine Frau, twittert für das Unternehmen, antwortet auf eine geschäftliche E-Mail, gibt ein CRM-Zitat frei oder kommentiert ein Dokument. Und möglicherweise schafft er all diese Dinge in fünf Minuten. In diesem Fall will sich der Nutzer in so einer kurzen Zeitspanne nicht fünfmal an- und abmelden.“

Anwender, die eine Virtual-Container-Lösung ins Auge fassen, sollten zudem prüfen, welche Anwendungen dafür zur Verfügung stehen. In der Regel bieten AirWatch, Good, MobileIron, Citrix & Co. für ihre Lösungen eine Auswahl gängiger Applikationen an, etwa E-Mail-Software und Browser. Das Look and Feel dieser Apps sollte möglichst dem der Original-Applikationen entsprechen, die auf der jeweiligen Systemplattform vorhanden ist, etwa Android, iOS, Windows Phone oder auch Blackberry OS. Muss sich ein Nutzer in eine veränderte Bedienerführung einarbeiten, dürfte ihm die Lust an sicheren Containern bald vergehen.

Das unterstreicht auch Sinisha Patkovic, Vice President Security Advisory bei Blackberry/RIM. In einem Beitrag im Bizz-Blog von Blackberry warnt er davor, dass IT-Abteilungen Sicherheitsmaßnahmen wie mobile Container wieder fallen lassen. Die Hintergründe stellt er folgendermaßen dar: Nutzer von Mobilsystemen beschweren sich über die komplexe Bedienung und den höheren Aufwand, der mit der Nutzung solcher Technologien verbunden ist. Spätestens dann, wenn ein Geschäftsführer oder andere Führungskräfte ins Lager der Container-Kritiker überschwenken, lockert auch der eine oder andere Chief Information Officer die Sicherheitsvorgaben. „Denn wer möchte schon gern den Chef verärgern“, so Patkovic.

Ein besonders flexibler Ansatz ist die Containerisierung auf der App-Ebene. Jede Applikation und die dazugehörigen Daten werden verschlüsselt und in einer Sandbox abgelegt. Policies stellen sicher, dass nur erlaubte Aktionen zwischen den Container-Apps und anderen Anwendungen auf dem Mobilsystem stattfinden. So lassen sich Copy-and-Paste-Vorgänge unterbinden, aber auch das Erstellen von Screen­shots. Da alle Apps denselben Betriebssystem-Kernel nutzen, etwa Android, sollte sichergestellt sein, dass für die Anwendungen und Daten hohe Sicherheitsanforderungen gelten. Eine starke Verschlüsselung mittels 256-Bit-Keys und Verfahren wie AES (Advanced Encryption Standard) ist somit Pflicht.

Zu den Vorteilen von Containern auf App-Ebene zählt, dass der Nutzer auf sie über dieselbe Bedienoberfläche zugreifen kann. Das Hin und Her zwischen separaten Bereichen auf dem Smartphone oder Tablet entfällt. Einige IT-Sicherheitsfachleute monieren allerdings genau das, also die Vermischung von privater und geschäftlicher Nutzer-Sphäre auf dem Mobilsystem.

Ein weiterer Nachteil ist, dass viele dieser Container-Technologien herstellerspezifisch sind. Das bedeutet, dass sich der Anwender binden muss, auch wenn das die Anbieter von Mobile-Container-Lösungen nicht gern hören: „Wir bei Citrix setzen von Anfang an auf das Open Ecosystem. Jeder Kunde oder App Developer kann sich unser SDK oder Wrapping-Tool frei herunterladen und somit seine App mit seinen Security-Richtlinien integrieren. Um die 25.000 Apps stehen bis dato zur Verfügung“, sagt beispielsweise Citrix-Manager
Sascha Rosbach.

Um Apps für Container passend zu machen, haben Entwickler und Systemverwalter zwei Optionen. Die eine ist das Rekompilieren der ursprünglichen Anwendung mit Hilfe von Software Development Kits (SDKs), die der Anbieter einer Container-Lösung zur Verfügung stellt. Dieses Verfahren kommt vorzugsweise bei unternehmenseigenen Apps zum Einsatz, auf deren Programmcode die Entwickler Zugriff haben. SDKs werden im Idealfall bereits während des Software-Entwicklungsprozesses verwendet. Ändert sich das SDK, müssen auch die entsprechenden Apps angepasst werden.

Ohne SDKs kommen App Wrapper aus. Diese Tools modifizieren den ausführbaren Code einer Dritt­anwendung. Auch sie werden von den Anbietern von Container-Lösungen bereitgestellt. Hinzugefügt werden vor allem Sicherheitsregeln. Sie legen beispielsweise fest, wo welche Daten gespeichert werden und über welche Verbindungen diese transportiert werden dürfen. Zu den Nachteilen des Verfahrens zählt, dass manche Hersteller von Anwendungen es Dritten untersagen, auf den Code ihrer Apps zuzugreifen geschweige denn da­ran herzumzubasteln. Nach Angaben von Cortado, einem Anbieter von Enterprise-Mobile-Management-Software, steigt außerdem durch das Wrapping das Fehlerrisiko. Zudem sind Management, Patching und Update solcher Anwendungen komplexer als bei Original-Applikationen.

Mittlerweile werben etliche Anbieter wie etwa Good Technology, MobileIron oder Apperian mit einem „App Wrapping ohne Coding“. So ersetzt beispielsweise die Good Dynamics Secure Mobility Platform Standardsystemaufrufe durch Secure Calls von Good-Technology-Sicherheitsbibliotheken. Auch IT-Fachleute ohne tief greifende Programmierkenntnisse können so laut Good mobile Anwendungen einpacken. Das Wrapping erfolgt dabei häufig über ein Webportal. Die entsprechenden Apps werden hochgeladen und dort verpackt.

Die besten mobilen Container nutzen jedoch nichts, wenn die Absicherung der genutzten Anwendungen Lücken aufweist: „Das Hauptsicherheitsrisiko ist längst nicht mehr das Gerät selbst“, sagt Tracy Varnum, Strategic Sales Manager, EMEA bei HP Enterprise Security. „Heute sind nach unseren Analysen für 84 Prozent der Sicherheitsverstöße die Applikationen verantwortlich, und die Anzahl der Schwachstellen in mobilen Applikationen steigt kontinuierlich.“ Die Daten von HP basieren auf der Untersuchung von rund 2000 Apps, die für geschäftliche Zwecke genutzt werden. Laut Varnum wiesen 90 Prozent davon signifikante Schwachstellen im Bereich Datenschutz und Verschlüsselung auf. „Das sicherste Gerät der Welt hilft nicht, wenn die Apps unsicher sind, die da­rauf laufen. Aus diesem Grund legen wir sehr großen Wert auf die Applikations­sicherheit“, so das Fazit der Fachfrau von HP Enterprise Security.

Varnums Einschätzung be­stätigt eine Untersuchung, die Appian durchführen ließ, ein Anbieter von Software für die Verwaltung mobiler Anwendungen. Danach haben die meisten IT-Verantwortlichen nur einen höchst lückenhaften Kenntnisstand, was die Nutzung von Apps auf Mobilsystemen im Unternehmen betrifft. So verfügt weniger als die Hälfte über Daten darüber, welcher Mitarbeiter wann und von welchem Ort aus, etwa einem Hotel oder Flughafen, welche mobilen Anwendungen einsetzt. Diese Ahnungslosigkeit macht es Angreifern einfacher, Smartphones und Tablets zu kapern und für ihre Zwecke zu missbrauchen. Allerdings ist diesem Phänomen mit Hilfe von mobilen Containern nur bedingt beizukommen. Vielmehr ist ein Enterprise Mobility Management (EMM) erforderlich. Und das ist gerade für mittelständische Unternehmen oft zu aufwendig und zu kostspielig.

Den Anbietern von Mobile-Container-Lösungen könnte bald Konkurrenz von einer ganz anderen Seite erwachsen: den Anbietern von Mobilbetriebssystemen wie Apple, Microsoft und Google (Android). Apple hat bereits mit iOS 7 (aktuell ist iOS 8) ein Sandbox-Modell für Apps und damit verbundene Daten eingeführt. Es ermöglicht Administratoren, die Konfigurationen von Apps zentral zu verwalten, App-spezifische Virtual Private Networks (VPN) einzurichten und eine Authentifizierung der Nutzer mittels Single-Sign-on zu implementieren. So lässt sich beispielsweise festlegen, welche App bestimmte Daten bearbeiten, kopieren, mittels File-Sharing-Diensten mit anderen teilen und per E-Mail versenden darf. Über die Standardschnittstellen (API) lassen sich diese Apps und iOS-Systeme mit Mobile-Device-Management- und Mobile-Application-Management-Lösungen (MDM, MAM) der gängigen Anbieter koppeln.

Mit Android for Work hat Google Anfang des Jahres eine vergleichbare Lösung für Android-Mobilgeräte angekündigt. Sie ermöglicht es, auf solchen Systemen einen separaten Workspace für geschäftliche Zwecke einzurichten. Die IT-Abteilung kann festlegen, welche Apps in diesem Bereich verwendet werden dürfen oder welche Daten den Workspace verlassen dürfen. Somit könnte sich Android for Work durchaus zu einer Konkurrenz für Samsung Knox entwickeln. Allerdings gibt es bislang einige Punkte, die noch für Knox sprechen. Einer ist, dass mit Samsungs Software für jede App eigene VPN-Verbindungen eingerichtet werden können. Außerdem ist die Anbindung von Samsung Knox an Microsofts Active Directory und MDM-/MAM-Lösungen von Drittanbietern ausgefeilter.

Sowohl die Container-Funktionen von Apple iOS als auch Android for Work erfordern den Einsatz einer MDM-Software. Über sie legen Administratoren die Regelwerke für Apps und Daten fest und setzen sie um. Android for Work arbeitet beispielsweise mit der Software von VMware Airwatch, Citrix, IBM, Mobile-Iron, Soti und SAP zusammen. Auch Microsoft hat für Windows Phone 10 eine vergleichbare Container-Lösung angekündigt. Sie soll sich mit Hilfe der Microsoft-eigenen Management-Lösung Intune verwalten lassen. Ob ein Enterprise Mobility Management à la Microsoft allerdings etablierten Lösungen das Wasser reichen kann, muss sich erst noch zeigen.

Immerhin belegen diese Ansätze, dass die Anbieter von Systemplattformen erkannt haben, dass eine Verwaltung von mobilen Systemen sowie der darauf befindlichen Apps und Daten künftig eine zentrale Rolle spielen dürfte. Eine der größten Herausforderungen wird darin bestehen, in entsprechende Management-Lösungen auch konkurrierende Systemplattformen einzubeziehen.

Mobile-Security-Lösungen sind wichtig, auch der Schutz von Daten und Anwendungen mittels Containern. Jedoch sollten sich Nutzer von der Vorstellung lösen, dass mobile Container eine Patentlösung sind. Vielmehr ist diese Technologie nur ein Element eines Enterprise-Mobility-Management-Ansatzes (EMM). Dieser umfasst nicht nur den Schutz von Endgeräten (Mobile Device Management), sondern auch von Anwendungen (Mobile Application Management) und Daten (Mobile Content/Information Management).

Hinzu kommt der Faktor Mensch: „Neben mobiler Mal­ware und Phishing kristallisiert sich das Verhalten der Anwender als eines der größten Sicherheitsrisiken heraus“, so IDC-Consultant und -Analyst Mark Alexander Schulte. Gegen das Fehlverhalten von Usern ist auch die beste Container-Lösung machtlos. Deshalb der Rat von Schulte: „Zur Verbesserung der Sicherheit müssen Unternehmen neben technologischen auch organisatorische Maßnahmen ergreifen.“