IoT-Geräte sind der "blinde Fleck" der Unternehmens-Security

Check-Point-Gründer und -CEO Gil Shwed.
Mobile- und IoT-Geräte sind oft die grössten Sicherheitsrisiken in Unternehmen, wie die Security-Spezialisten von Check Point an der CPX 2017 zeigen.
 
"Cloud. Mobile. Threat Prevention." Unter diesem Motto fand vergangene Woche die Check-Point-Konferenz CPX2017 in Mailand statt. Kurz nach der ersten Welle des Ransomware-Angriffs WannaCry wird der Tipp "Prävention statt Aufspürung" besonders häufig betont. Noch immer dauere es im Schnitt 4,9 Monate bis ein Data Breach in einem Unternehmen entdeckt werde. Dies zeige deutlich, so Check-Point-CEO und Gründer Gil Shwed, dass Massnahmen etwa zum Aufspüren von Datenlecks nicht effizient seien. Unternehmen sollten ihre Security-Produkte und -Massnahmen konsolidieren, von einem zentralen Punkt aus managen und den Fokus auf Prävention legen, so der Gründer des israelischen Security-Unternehmens.
 
Mobile und Cloud gehen Hand in Hand
In vielen Unternehmen seien Mobilgeräte nach wie vor das schwächste Glied. Bei allen Unternehmen könne früher oder später eine Form von Mobile-Malware gefunden werden, so Check Points VP Product Marketing & Produkt Management, Gabi Reish, in seinem Vortrag.
 
"Cloud und Mobile gehen Hand in Hand. Der Einsatz von Smartphones macht nur Sinn, wenn Nutzer damit auch auf die in der Cloud gespeicherten Informationen zugreifen können", sagt Michael Shaulov, Head of Mobility Product Management, im Gespräch mit inside-it.ch. Umso wichtiger sei es, dass Mobilgeräte geschützt werden. "Anwender vergessen manchmal, dass es sich bei ihrem Smartphone um einen Computer handelt", so Shaulov, "Um ein Gerät, das nie zu 100 Prozent geschützt ist".
 
Seiner Erfahrung nach kommt Schadsoftware meist mittels infizierter Apps auf Smartphones. In der Regel seien dies Android-Apps aber immer häufiger gebe es auch bösartige iOS-Applikationen. Ein weiteres grosses Problem sind laut Shaulov ungeschützte Wlan-Verbindungen. Noch sei Ransomware auf Smartphones kein grosses Thema. Die meisten Geräte machen standardmässig regelmässige Backups in der Cloud. Statt im Schadensfall Lösegeld zu bezahlen, können die Opfer genau so gut ein neues Gerät kaufen und ihre Daten wiederherstellen.
 
Zu einem grossen Problem wird Ransomware auf Smartphones aber, wenn sie Zugang zu den Daten in der Cloud bekommt. Der Check-Point-Manager weist auf den Trojaner Gooligan hin. Die Malware, die vergangenen November
Oded Vanunu, Head of Products Vulnerability Research, Check Point.
entdeckt wurde, verschaffte den Angreifern Zugriff auf Google-Dieste wie Google Drive, Docs oder Google Play. "Mit ein paar Zeilen Code mehr wäre die Schafsoftware auch in der Lage gewesen, Daten auf der Google-Cloud zu verschlüsseln", ist Shaulov überzeugt.
 
IoT ist der "blinde Fleck"
Noch weniger als mobile Geräte werden in Unternehmen und Privathaushalten IoT-Geräte geschützt. "IoT-Geräte sind noch immer ein blinder Fleck im Netzwerk", führt Oded Vanunu, Head of Products Vulnerability Research bei Check Point, in einer Demo aus. Er nennt etwa das bekannte Beispiel der smarten Samsung TVs, die von der CIA gehackt wurden oder IoT-Geräte, die gekapert und für massive DDoS-Angriffe missbraucht werden.
 
In seiner Demonstration zeigt Vanunu, wie sich Hacker mithilfe einer Drohne und einem Raspberry Pi Zugriff zu einem Firmennetzwerk verschaffen können. Dank schlecht oder nicht geschützten smarten Geräten erhielten die Angreifer Zugang zu Bilder der Überwachungskameras oder die Möglichkeit, die automatischen Türschlösser zu manipulieren. "Solche Exploits sind verfügbar und relativ einfach auszuführen", warnt er.
 
IoT-Geräte werden kaum gewartet, es gibt eine Fülle von Herstellern dieser Geräte, dafür selten aber Security-Patches und kaum einem Anwender komme es in den Sinn, die Passwörter zu ändern. "Die Geräte müssten in einem Unternehmen behandelt werden, wie jedes andere mit dem Internet verbundene Gerät. IoT-Geräte gehören durch eine Firewall geschützt und auch der Zugriff auf sie muss eingeschränkt werden", so sein Tipp für den Einsatz von smarten Geräten in Unternehmen oder in Privathaushalten. (Katharina Jochum)
 
Interessenbindung: Die Autorin wurde von Check Point an die CPX nach Mailand eingeladen (Anreise und Unterkunft).