Threema-Studie zu Cybersecurity Messenger-Dienste als Angriffsfläche für Cyberkriminelle

Anbieter zum Thema

Threema GmbH

G DATA CyberDefense AG

bb-net media GmbH

WatchGuard Technologies GmbH

Kommunikationstools stehen meist nicht im Fokus der Sicherheitsstrategien von Unternehmen. Dabei gelten doch gerade Smartphones als attraktives Einfallstor für Cyberkriminelle. Sind Messenger-Dienste tatsächlich unsicher und gefährlich?

In der Geschäftswelt spielt die Kommunikation eine zentrale Rolle: Früher wurden Briefe verschickt, heute dominieren E-Mails. Und auch Smartphones werden zunehmend für die interne und externe Kommunikation eingesetzt. Dabei werden zum Teil sensible Daten verschickt, wie zum Beispiel Verträge. Diese Daten gilt es zu schützen.

Doch beobachtet man die Entwicklungen der letzten Jahre, wird deutlich, dass die Gefahrenlage zunimmt: Immer wieder kam es zu Cyberangriffen. Deswegen investieren Unternehmen verstärkt in Schutzmaßnahmen. Laut der Studie „Kommunikationstools: IT-Verantwortliche gefangen im Netz der Widersprüche [PDF registrierungspflichtig]“ von Threema fokussieren sich die Unternehmen bei ihrer Sicherheitsstrategie auf die Bereiche Cloud-Sicherheit, Datenschutz und Netzwerksicherheit. Die mobile Sicherheit und sichere Kommunikationskanäle rücken laut den Studienergebnissen in den Hintergrund.

Die Gefahren bei den Kommunikationstools unterscheiden sich stark:

• Messenger-Apps: Trotz der Nutzung von Messenger-Apps mit einer Ende-zu-Ende-Verschlüsselung können Messenger-Dienstleister Metadaten erfassen und sammeln. Zu diesen Daten gehören Informationen wie Standort, IP-Adressen, Telefonnummern und sogar die Dauer der Kommunikation. Diese gesammelten Daten werden meist für Werbe- und Marketingzwecken gesammelt.

• Kollaborationstools: Diese Lösungen gewährleisten den Mitarbeitern, in Echtzeit zusammen zu arbeiten. Die Gefahr besteht darin, dass sie ein beliebtes Einfallstor für Hacker sind. Denn innerhalb dieser Tools können Malware als Anhänge in Chats und Gruppen leicht verbreitet werden.

• E-Mail: Auch die weitverbreitete E-Mail birgt ihre Tücken. Oft sind sie unverschlüsselt und das Anbringen einer Verschlüsselung ist umständlich.

Fehlende Ausweichmöglichkeiten bei Kommunikationstools

Im Falle einer Cyberattacke müssen Unternehmen damit rechnen, dass IT-Systemen ausfallen – betroffen können auch die üblichen Kommunikationskanäle (E-Mail oder Kollaborationstools) sein. Daher ist es unabdinglich, für solche Ausnahmesituationen eine alternative Kommunikationsmöglichkeit zu schaffen. Die Studie ergab, dass zwar der Großteil der Unternehmen (78 %) über einen Backup-Kommunikationskanal verfügen. Doch sind noch immer 20 Prozent der befragten Unternehmen nicht auf den Ernstfall vorbereitet.

Bildergalerie

Bildergalerie mit 6 Bildern

Datenschutz und Kommunikation

Die Europäische DSGVO (Datenschutz-Grundverordnung) sieht vor, dass sensible personenbezogene Daten geschützt behandelt werden müssen. Ein Großteil der befragten Unternehmen (83 % intern/ 51 % extern) tauschen sensible Daten aus – doch lediglich drei Viertel der Unternehmen regeln den Austausch sensibler Daten durch konkrete Vorschriften. Das Problem bestehe darin, dass die Nutzung von privaten Messenger-Diensten nicht ausreichend reguliert werde, so das Ergebnis der Studie. Denn in 67 Prozent der befragten Unternehmen sei die Kommunikation über private Messenger-Dienste via Smartphone erlaubt. Allerdings seien diese laut der Studie weder DSGVO-konform noch entsprechen sie den Sicherheitsstandards.

Trotz des Wissens über die Gefahr privater Messenger-Dienste und der damit verbundenen Verletzung der DSGVO-Richtlinien, kommen Unternehmen ihrer Pflicht nicht ausreichend nach – sie verwenden die Dienste trotzdem. Dabei gefährden sie nicht nur sensible Daten, sondern auch sich selbst.

NIS2 ab Oktober 2024 verpflichtend

Die NIS2-Richtlinie (Network and Information Security Directive), die Unternehmen dazu zwingt, weitere Sicherheitsmaßnahmen vorzunehmen, wird ab dem 17. Oktober 2024 für Unternehmen verpflichtend sein. Betroffen sind allein in Deutschland schätzungsweise 30.000 Unternehmen. Alle Organisationen, die bedeutende Dienstleistungen für die europäische Wirtschaft und Gesellschaft erbringen, unterliegen der NIS2-Richtlinie. Die Studie fand heraus, dass 27 Prozent, also mehr als ein Viertel der betroffenen Unternehmen nicht auf die neuen Richtlinien vorbereitet sind.

Widersprüche der Studienergebnisse

Die Studie „Kommunikationstools: IT-Verantwortliche gefangen im Netz der Widersprüche“ deckt aber auch signifikante Diskrepanzen auf.

• Trotz der hohen Priorität von Cybersicherheit und Datenschutz werde der mobilen Sicherheit und der Sicherheit der Kommunikationsmittel überraschend wenig Dringlichkeit beigemessen.

• Die privaten Messenger-Dienste werden als Kommunikationsmittel genutzt, trotz der Tatsache, dass sich die Unternehmen darüber bewusst sind, dass die Dienste nicht datenschutzkonform sind und auch ein persönliches Risiko damit verbunden ist.

• Das Haftungsrisiko bei einer Nutzung dieser Dienste ist dem Management und den IT-Verantwortlichen bewusst, aber sie gehen fahrlässig mit dem Thema um.

• Trotz all der genannten Risiken werden die Dienste von einer Großzahl von Unternehmen ohne notwendige Regelung verwendet.

Verbesserungspotenzial und Ausblick

Doch durch die richtigen Maßnahmen können Unternehmen sich adäquat vor Cyberangriffen zu schützen. Einerseits bestehe die Möglichkeit, die Cyberresilienz zu stärken: Dabei spielt die alternative Kommunikationsmöglichkeit im Falle eines Cyberangriffs eine Rolle und der verstärkte Fokus auf die Abwehr von Cyberangriffen. Auch die Schulung der Belegschaft kann einen entscheidenden Baustein für die Cyberresilienz darstellen. Denn nur wenn die Belegschaft sich darüber im Klaren ist, welche Risikofaktoren existieren, kann eine Vermeidung von unvorsichtigen Handlungen gewährleistet werden.

Zu guter Letzt müssen alle Maßnahmen auf allen Ebenen konsequent umgesetzt werden. Das heißt im Klartext: Sicherheit der Kanäle für die Unternehmenskommunikation, der Datenschutz und die Netzwerksicherheit müssen im Einklang stehen und auf allen Ebenen ausnahmslos umgesetzt werden.

(ID:50091175)