Die Corona-Pandemie hat die Unternehmen dazu gezwungen, ihren Mitarbeitern die Möglichkeit zu geben, so weit wie möglich von zu Hause aus zu arbeiten. In diesem Zusammenhang wurden zahlreiche Maßnahmen ergriffen, um die Arbeit außerhalb der Räumlichkeiten des Arbeitgebers sicher zu gestalten. Dazu gehören die Verschlüsselung externer Festplatten und USB-Sticks, das Verbot der Nutzung dieser Geräte, die Absicherung von Firewalls, Virenscannern und Netzwerken, die Einrichtung von VPNs sowie die Erstellung einer Vielzahl von Richtlinien. Dennoch bleibt das Gefühl, dass etwas vergessen wurde. Die zentrale Frage dieses Artikels lautet daher: “Haben Sie wirklich an alles gedacht?
Gefahrenquelle 1: USB-Geräte
Es ist bedauerlich, dass viele Aspekte in Vergessenheit geraten. In den meisten Fällen ist dies jedoch nicht auf Nachlässigkeit, sondern auf Unwissenheit zurückzuführen. In diesem Zusammenhang ist anzumerken, dass es nicht das drahtlose Heimnetzwerk ist, für das ein Netzwerkkabel die bessere Wahl darstellt. Vielmehr sind es die USB-Geräte, die oft vergessen werden. Es stellt sich die Frage, wer heute noch mit einer kabelgebundenen Tastatur oder Maus arbeitet. Hier ist zu beachten, dass eine unzureichende Ausstattung zu Sicherheitsrisiken führen kann.
Nach wie vor gibt es eine Vielzahl von Geräten, die mit einem USB-Stick installiert werden. Gerade hier kann es zu Problemen kommen. Die Software dieser Geräte ist oft über einen langen Zeitraum, teilweise über mehrere Jahre, unverändert geblieben. Eine weitere, oft unterschätzte Gefahrenquelle ist der USB-Stick selbst, der ebenfalls Sicherheitslücken aufweisen kann. Bitte teilen Sie mir mit, ob der Stick bereits gescannt wurde. Können Sie bestätigen, dass der Stick aus einer vertrauenswürdigen Quelle stammt? Vor allem bei billigen Geräten kann es zu Problemen kommen. Denn handelsübliche Sticks können leicht manipuliert werden. Eine Gefahr besteht darin, dass Dritte ein Unterprogramm in die Installationsroutine einschleusen und so Spionagesoftware oder Viren auf den Rechner gelangen. Prinzipiell gibt es drei Möglichkeiten:
Die USB-Sticks werden nachträglich, d.h. nach der Produktion und vor dem Verkauf bzw. der Auslieferung an den Endkunden ausgetauscht. Der Aufwand für das Umpacken ist im Vergleich zum möglichen Nutzen eines solchen Angriffs sehr gering. Der Austausch des Sticks kann an einem beliebigen Ort erfolgen. Die Kosten für die Herstellung eines USB-Sticks liegen zwischen 0,6 und 5 USD pro Stück. Dies ist für Kriminelle durchaus interessant. Nimmt man z.B. eine billige Variante und “verseucht” eine Million Mäuse, so entstehen Kosten von ca. 1 Mio. USD, die man in der Regel bereits beim Weiterverkauf wieder einspielt.
“Die Annahme, Bluetooth wäre die sichere Alternative, ist leider auch nicht korrekt.”
15 häufig übersehene Gefahrenquellen im Homeoffice – Leitfaden für mehr IT-Sicherheit & Datenschutz
Erhalten Sie im kostenlosen Leitfaden alle wichtigen Infos über die 15 häufig übersehene Gefahrenquellen, sowie effektive Maßnahmen für mehr IT-Sicherheit im Homeoffice.
Gefahrenquelle 2: Bluetooth-Geräte
Die Annahme, dass Bluetooth eine sichere Alternative ist, ist leider auch nicht richtig. Es ist zu berücksichtigen, dass nicht alle Bluetooth-Geräte auf dem neuesten Stand sind und somit Angriffsflächen für Hacker bieten. Insbesondere bei Bluetooth-Tastaturen besteht die Gefahr, dass Dritte die Tastatureingaben mitschneiden. Dies ist möglich, da die Pairing-PIN (4- bis 6-stellige PIN, die in der Regel bei der ersten Verbindung zwischen beiden Geräten ausgetauscht wird) sehr leicht zu entschlüsseln ist. Angriffe zielen weniger auf das Gerät selbst, sondern auf die gesamte Eingabe ab, um Daten und Zugänge zu erlangen. Die Gefahr solcher Angriffe ist bei günstigen Tastaturen höher. Es stellt sich also die Frage, wie dieses Risiko minimiert werden kann. Die Antwort ist relativ einfach. Wer nicht mit kabelgebundenen Geräten arbeiten möchte, sollte Tastaturen mit 128-Bit-AES-Verschlüsselung verwenden.
Gefahrenquelle 3: Drucker
Ein weiteres Gerät, das die IT-Sicherheit gefährden kann und oft übersehen wird, ist der Drucker, den Mitarbeitende im Homeoffice nutzen. Diese Gefahr besteht unabhängig davon, ob die Drucker im Netzwerk oder per USB angeschlossen sind. Drucker haben in der Regel keine eigene Firewall. Ist ein weiteres ungesichertes Gerät (z.B. ein privater Computer) ebenfalls mit dem Netzwerk verbunden, kann über dieses Gerät ein Angriff erfolgen. Ein weiteres Risiko stellt der Druckerspeicher dar. Seit einigen Jahren verfügen Drucker über einen eigenen Speicher, in dem das zu druckende Dokument zwischengespeichert wird. In einigen Fällen verbleibt das Dokument auch nach dem Druck im Speicher, so dass ein Auslesen möglich ist.
Dies ist im Hinblick auf die Datenschutzgrundverordnung (DSGVO) äußerst kritisch zu betrachten, auch wenn das Netzwerk gesichert ist. Denn neben den datenschutzrechtlichen Aspekten können je nach Beruf sogar strafrechtliche Konsequenzen drohen. Rechtsanwälte, Ärzte, Steuerberater und viele andere Berufsgruppen müssen sicherstellen, dass keine Daten weitergegeben werden. Dies muss auch beim Verkauf oder der Entsorgung eines Druckers gewährleistet sein, unabhängig davon, ob dieser in den Räumlichkeiten des Arbeitgebers oder beim Mitarbeiter zu Hause genutzt wurde. Um hier rechtskonform zu handeln, müssen die Festplatten ausgebaut und die darauf befindlichen Daten unwiederbringlich vernichtet werden.
“Diese Gefahr besteht unabhängig davon, ob Drucker im Netzwerk oder per USB angeschlossen werden.”
Gefahrenquelle 4: Fremdzugriffe
Ein Großteil der Mitarbeiter erhält den Router von ihrem Internet Service Provider (ISP) als Mietgerät. Dies ermöglicht dem ISP einen Fernzugriff, über den beispielsweise die Routersoftware aktualisiert und Nutzerdaten ausgelesen werden können. Nach der DSGVO liegt die Verantwortung für die Einhaltung der gesetzlichen Vorgaben bei jedem Nutzer selbst. Blindes Vertrauen in den eigenen ISP bietet daher keine Sicherheit. Übertragen wir diese Gefahrenquelle auf das Beispiel des Druckers, könnte sich folgendes Bild ergeben: Ein Mitarbeiter druckt ein Dokument aus, dieses verbleibt im Speicher des Druckers.
Ein Mitarbeiter des ISP gelangt so über den Router, zu dem er Zugriff hat, auf den Drucker und damit das Dokument und die darin enthaltenen Daten.
Welche Lösungen gibt es, um ein solches Szenario zu vermeiden?
- Es ist nicht möglich, Ihrem Mitarbeiter Vorschriften bezüglich seines Vertragsverhältnisses mit seinem ISP zu machen. Sie können ihm jedoch einen eigenen Anschluss und Router zur Verfügung stellen.
- Verwenden Sie keine Netzwerkdrucker.
- Beschränken Sie generell die Nutzung von Druckern auf ein absolutes Minimum.
- Verschlüsseln Sie das Drucken und stellen Sie den Druckerspeicher auf temporär, so dass er gelöscht wird.
- Schalten Sie den Drucker ganz aus, wenn Sie nicht drucken, anstatt ihn nur in den Ruhezustand zu versetzen.
- Verwenden Sie keine Eingabegeräte, die auf Funktechnologien basieren, oder stellen Sie alternativ mindestens eine AES128-Verschlüsselung sicher.
- Verwenden Sie kein WLAN, sondern LAN-Kabel.
- Als Fazit lässt sich festhalten, dass bei Heimarbeitsplätzen nicht nur an die klassischen USB-Sticks oder Festplatten, sondern auch an Peripherie- oder Funkeingabegeräte zu denken ist. Betrachten Sie das System als Ganzes und berücksichtigen Sie alle Komponenten sowie Zugriffe durch Dritte, wie z.B. ISP und gemietete private Endgeräte..
