DEUTSCHES INSTITUT FÜR KLEINE

Transkript

1 DEUTSCHES INSTITUT FÜR KLEINE UND MITTLERE UNTERNEHMEN e.v. Vertraulichkeit in der mobilen Kommunikation - Eine Aufgabe für jedes Unternehmen Eine Studie des Deutschen Instituts für kleine und mittlere Unternehmen zu Die aktuellen Skandale um den amerikanischen Sicherheitsdienst NSA haben gezeigt: Vertraulichkeit ist ein wachsendes Problem in Zeiten boomender mobiler Kommunikation. Die erheblichen Mengen an Informationen, die auf Computern lagern oder Gegenstand der nicht nur elektronischen Kommunikation sind, wecken vielfältige Begehrlichkeiten von Neugierigen, Politik und Justiz, Kriminellen und Konkurrenten. Gerade für letztere können strategische und persönliche Informationen anderer Unternehmen von großem Interesse sein. Doch so groß die Sensibilität für die Datensicherheit auf Computern und im Internet ist, so sorglos scheinen viele Unternehmen mit denjenigen Informationen umzugehen, die sie tagtäglich per Internet, per Handy oder im persönlichen Gespräch weiter tragen, die also Gegenstand der mobilen Kommunikation sind. In Zeiten der Blackberrys und Smartphones, die von überall her einen Zugriff auf firmeninterne Informationen zulassen, hat sich das Bewusstsein für die Gefahren, die mit den Möglichkeiten der ortsungebundenen Erreichbarkeit von Informationen einhergehen, nicht erweitert. Unternehmen müssen nicht nur aus Eigeninteresse heraus, sondern auch wegen gesetzlicher Vorschriften und dem Schutze der eigenen Mitarbeiter, Kunden und Geschäftspartner vertrauliche Informationen vor dem Zugriff Dritter schützen. Denn derartige Informationen finden nur zu oft großes Interesse bei Wettbewerbern, Staat, Öffentlichkeit und auch manchen Mitarbeitern. Auf der anderen Seite werden nicht zuletzt durch moderne elektronische Kommunikationstechnologien zunehmend Informationen über die Unternehmensgrenzen hinweg transportiert, sind für Mitarbeiter wie Geschäftspartner mobil verfügbar und werden auch mobil miteinander ausgetauscht. Informationen sind via Handy und Internet nahezu überall verfügbar und werden auch von überall her genutzt. Jeder kennt das Problem mit der Vertraulichkeit Jeder hat es schon einmal erlebt. Ob während der Zugfahrt oder im Wartebereich von Flughäfen, immer wieder hören wir unfreiwillig bei Telefonaten mit, die uns einiges an Informationen geben. Genauso oft sehen wir im Flugzeug auf den Bildschirmen anderer Mitreisender deren Unterlagen oder erhaschen zufällig einen Blick auf die Präsentation in einem Hotel. Viele sind schon Opfer von Viren oder Trojanern auf ihrem Computer geworden. Oder jemand hat versucht in ihr W-LAN-Netz einzudringen. Und etwa jeder zweite in Deutschland hat schon einmal sein Handy, einen USB-Stick oder einen anderen Datenträger verloren bzw. er hat eine SMS an den falschen Absender geschickt. Nicht alle Informationen, die so an unbefugte Dritte gelangen, werden nachher gegen den Betroffenen verwendet. Dafür muss derjenige, der die Informationen erhält, diese erst einmal verstehen und dann gegen den Betroffenen verwenden (wollen). Ein prominentes Beispiel ereigne-

2 Seite 2 von 5 te sich im Frühjahr Ein vertrauliches Telefonat des italienischen Ministerpräsidenten Silvio Berlusconi wurde abgehört. Und vor nicht allzu langer Zeit wurde dem brandenburgischen Minister Rainer Speer der Laptop gestohlen, seine s dabei ausgelesen und verfälschte E- mails unter seinem Namen versendet. Die aktuellen Berichte über die NSA-Lauschangriffe u. a. auf Kanzlerin Merkel stellen derzeit den traurigen Höhepunkt dar. Das zeigt, dass auch Politiker und Unternehmer nicht davor gefeit sind, dass ihnen in bei mobilen Kommunikationen Informationen abhanden kommen. Es zeigt aber auch, wie fahrlässig viele von uns auch mit vertraulichen Informationen umgehen, wie leichtsinnig wir sie Preis geben. Doch während der Schutz des Computers bei der Internetnutzung im Privaten wie im Beruflichen gängige Praxis ist, ist die Sensibilisierung für den Schutz mobiler Kommunikation gerade in kleinen und mittleren Unternehmen noch wenig vorgedrungen, wie Studien des DIKMU aus dem Sommer 2010 zeigen und dies trotz spektakulärer, öffentlich gewordener Diskretionsverstöße: 32% der Unternehmen wissen nicht, ob ihnen bereits schon mal vertrauliche Informationen verloren gingen, 28% wissen nicht, ob ihnen schon mal ein Handy im Betrieb verloren ging und nur 46% geben ihren Mitarbeitern Richtlinien, nur 27% schulen sie im Schutz vertraulicher Informationen. Daran hat sich bis heute kaum etwas geändert. Mobile Kommunikation ein weiter Aktionsraum für den Schutz von Informationen Das Deutsche Institut für kleine und mittlere Unternehmen e.v. (DIKMU) hat sich in einer empirischen Untersuchung mit Leckagen in der mobilen Kommunikation beschäftigt und auf dieser Basis einen praktischen Handlungskatalog für Unternehmen entwickelt, wie sie Vertraulichkeit in der mobilen Kommunikation gewährleisten können. Bei der mobilen Kommunikation handelt es sich in der Studie nicht nur um die Kommunikation via Handy und Internet etc., sondern auch um die persönliche und postalische Kommunikation. Es kommt also nicht auf die Bestimmung eines elektronischen Endgerätes als Mittel der mobilen (elektronischen) Kommunikation an, sondern auf die Ortsungebundenheit der Kommunikationspartner. Damit erfasst die Studie ein viel weiteres Spektrum der mobilen Kommunikation als sich dies bisher im gesellschaftlichen Diskurs befand. Welche Leckagen sind für die Unternehmen besonders bedrohlich? Die Schäden, die aus dem Verlust vertraulicher Informationen erwachsen können, sind vielfältig. So ist es zum einen der Image- und Vertrauensverlust bei Mitarbeitern, Kunden, Partnern, Lieferanten und in der Öffentlichkeit, zum anderen gelangen u. U. Konkurrenten an strategische Informationen des Unternehmens. Daraus können rechtliche Haftungen entstehen, wie auch der Verlust von Kunden und damit von Umsatz und Gewinn. So lag in einer Studie vom Ponemon Institut aus dem Jahre 2006 der Prozentsatz abgewanderter Kunden nach einer Datenpanne im Gegensatz zu einem Vergleichszeitraum um durchschnittlich 3,24% höher. Schließlich muss die Leckage geschlossen und der Fall in der Öffentlichkeit kommunikativ bearbeitet werden. Dies alles führt zu zusätzlichen Kosten, wie auch die u. U. notwendig werdenden Neuentwicklungen von Produkten und Produktionsprozessen, wenn geheime Informationen hierzu verlustig gehen. Wie groß der Schaden jeweils wird, ist kaum zu prognostizieren. Wohl aber können deutsche Unternehmen die Gefahren, die für sie von der Verletzung der Vertraulichkeit in der mobilen Kommunikation ausgehen, gut einschätzen wenn ihnen die Leckage denn bewusst wird. Die Untersuchungen des Deutschen Institutes für kleine und mittlere Unternehmen e.v. (DIKMU) aus dem Sommer 2010 legen offen, welche Bedrohungen aus den Leckagen die Unternehmen sehen und welche Leckagen besonders bedrohlich sind. Die größte Bedrohung geht aus Sicht der Unternehmen aus vom:

3 Seite 3 von 5 Mithören/-schneiden von Telefonaten im öffentlichen Raum, Phishing, Mithören von Gesprächen im öffentlichen Raum (z. B. Flugzeug, Zug, Café, Präsentation), Aufzeichnen des Datenflusses aus ungesicherten WLAN-, UMTS-, GPRS- und Bluetooth- Verbindungen, Mitlesen im öffentlichen Raum, (z. B. Flugzeug, Zug, Café, Outdoor-Präsentation) und Auslesen von verlorenen/gestohlenen Laptops, Smartphones, Sticks etc. Hingegen stellen Leckagen wie das Auslesen von liegen gebliebenen von nichtelektronischen Unterlagen im nichtöffentlichen Raum (Büro, privat), das Abhören /Mitschneiden von VoIP- Kommunikation, Abfangen von umgeleiteten SMS ohne Weiterleiten, das Mitlesen von SMS, das Mitlesen von FTP-Datensendungen, das Auslesen von umgeleiteten FTP-Sendungen die geringste Bedrohung und damit Bedeutung für die Unternehmen dar. Bin auch ich diesen Risiken ausgesetzt? Grundsätzlich gilt: Je mehr sensible Informationen ich besitze, desto größer ist für mich auch die Notwendigkeit, meine Informationen zu schützen. Dazu gehören beispielsweise interne Preiskalkulationen, vertrauliche Kunden- und Mitarbeiterdaten, betriebliches Know-How das Geheimrezept des eigenen Erfolgs. Sind hingegen Preise und Preiskalkulationen offen, nach Standards in der Branche festgelegt, genauso wie die Funktionsweise bzw. die Herstellung meiner Produkte, ist das Risiko geringer. Somit schwankt das Risiko schwerwiegender Konsequenzen aus einer Datenpanne nicht nur nach deren Inhalt, sondern auch je nach Branche, Produkt und Lackage. Während Freiberufler (Anwälte, Ärzte, Wirtschaftsprüfer) mit vielen sensiblen Informationen umgehen, ist der Anteil vertraulicher Informationen, deren Verlust existenzgefährdend wäre, im Handwerk naturgemäß deutlich geringer, während in der Industrie z.b. technische Informationen äußerst sensibel sind und im Dienstleistungssektor eine Vielzahl an Verbraucherdaten geschützt werden müssen. Aber auch Privatpersonen sind den Risiken der Leckagen in der mobilen Kommunikation ausgesetzt, wenn sie als Verbraucher, als Mitarbeiter oder als Privatperson in der Öffentlichkeit Informationen über sich Preis geben bzw. ihre Informationen, ob sie auf dem Computer oder dem Smartphone abgespeichert sind, nicht angemessen vor unerwünschtem Zugriff schützen. Was kann ich tun, um meine vertraulichen Informationen zu schützen? Wichtigste Voraussetzung für den Schutz vertraulicher Informationen ist die Sensibilisierung für den Umgang mit Informationen in der mobilen Kommunikation. Ist die grundsätzliche Bereitschaft für die Vertraulichkeit geweckt, geht es an die Konzeption eines individuellen Sicherheitskonzepts. Dabei sind folgende Schritte zu vollziehen: 1. Situations- und Risikoanalyse: An welchen Orten findet mobile Kommunikation statt? Welche Personen sind daran beteiligt? Welche mobilen Geräte kommen zum Einsatz? Welche Informationsflüsse gibt es? Welche Leckagen könnten auftreten? Wie hoch ist das Eintrittsrisiko je Leckage? Wie hoch könnte der Schadensumfang bei einer Datenpanne zu bemessen sein? 2. Maßnahmenpaket schnüren: Die Maßnahmen sind individuell je Leckage festzulegen. Dabei ist darauf zu achten, dass die Maßnahmen die entsprechende Antwort auf technische bzw. verhaltensbedingte Probleme geben:

4 Seite 4 von 5 Einsatz von Software (u. a. Zugangsschranken, Verschlüsselung und Identity Management Software, Firewalls und Virensoftware). Datensicherung: Umfasst jegliche Formen der Datensicherung auf den mobilen Geräten, i. d. R. auch Softwareunterstützung. Mechanische und bauliche Maßnahmen: u. a. Sichtschutzen(folien), Laptopketten, Handy-Etuis, Handytelefonzelle). Richtlinien, verbindliche Verhaltensvorgaben für die Mitarbeiter. Mitarbeiterschulung und Workshops. Parallel zu den vorgestellten Maßnahmen kann ein Sicherheitsbeauftragter bestimmt werden, der die Umsetzung koordiniert und kontrolliert. 3. Kontinuierliche Kontrolle und Analyse der Anwendung der Maßnahmen, der Eintrittsfälle und der Konsequenzen. Nicht jedes Unternehmen und jede Privatperson wird einsehen, ein solch aufwändiges Management bei sich einzuführen. Daher ist vorher zu prüfen, wann es sinnvoll ist, diesen Aufwand auf sich zu nehmen. Es sind insbesondere die großen, für die Wirtschaft und Gesellschaft wichtigen und damit vielfach in der Öffentlichkeit und Kritik stehenden Unternehmen, die es betreiben sollten. Aber auch kleinere, F&E-orientierte und wissensbasierte Entwickler und Dienstleister können nicht daran vorbei gehen, ebenso wie Unternehmen, die sich in schnell wachsenden, auch internationalen Kooperationen und Konkurrenz bewegen. Für sehr kleine und in der Branchenroutine befindliche Unternehmen hingegen erscheint der Aufwand wie bei vielen anderen Managementkonzepten etwas überzogen. Das Gleiche gilt für Privatpersonen. Sie sollten allerdings einzelne Elemente des Managementprozesses aufgreifen, z. B. ein Auditing zur Analyse und zum bewusst machen der möglichen persönlichen Leckagen durchführen. Ein Resümee Der Schutz der Vertraulichkeit nicht nur in der mobilen Kommunikation muss zwar, kann aber nicht nur durch Technik erreicht werden. Vielmehr sind Sensibilisierung und Änderung im Verhalten der Menschen der effektivste Weg zum Schutz der Vertraulichkeit. Das betrifft nicht nur den Menschen als Geschäftsmann bzw. -frau sondern auch in seinem privaten Lebensumfeld. Das oben genannte Managementkonzept gibt dazu eine adäquate Antwort für Unternehmen, in reduzierter Form auch für Privatpersonen. Gleichwohl ist es dies ein Anfang und eine Anregung für eine weitergehende Diskussion über den Schutz der Vertraulichkeit in allen Lebensbereichen der Gesellschaft, um hier dem wichtigen Thema Vertraulichkeit zu mehr Bewusstsein zu verhelfen. Denn jeder muss Vertraulichkeit managen. Eine ausführliche Analyse und Beschreibung findet sich im Buch: Jörn-Axel Meyer Vertraulichkeit in der mobilen Kommunikation Leckagen und Schutz vertraulicher Informationen Eul Verlag, Lohmar 2010, ISBN

5 Seite 5 von 5