Mobile Sicherheitsvorfälle führen in jedem vierten Unternehmen zu Schäden in sechsstelliger Höhe, so die Marktforscher von IDC bei der Vorstellung der Studie „Mobile Security in Deutschland 2017“. 65 Prozent der befragten Unternehmen berichten von Angriffen auf mobile Endgeräte, ein Anstieg um acht Prozentpunkte gegenüber 2015. Um den mobilen Bedrohungen besser zu begegnen, halten 38 Prozent der Unternehmen das Verbot von Zugriffen auf nicht autorisierte WLAN-HotSpots für entscheidend, 34 Prozent wollen ihre Sicherheitsrichtlinien überarbeiten, 28 Prozent denken an die Einführung einer EMM (Enterprise Mobility Management) & Security-Lösung.
Betrachtet man speziell die kleinen und mittleren Unternehmen (KMU) in Deutschland, verschärft sich die Lage sogar noch: Laut IDC denken 52 Prozent der IT-Verantwortlichen, dass von Anwendern eine größere Gefahr als von Cyber-Kriminellen ausgeht. Doch gerade in KMU herrscht großes Vertrauen in die Sicherheit der mobilen Endgeräte. Europaweit gaben laut einer HID Global-Umfrage 75 Prozent der KMU-Mitarbeiter an, keine Sicherheitsbedenken zu haben, wenn sie Smartphones oder Tablets nutzen. Betrachtet man die steigende Zahl der mobilen Sicherheitsvorfälle, lassen sich viele KMUs von einer Scheinsicherheit täuschen.
Mobility- Konzepte werden für KMU wichtiger, doch die Kontrolle fehlt
Trotz der Sicherheitsrisiken steigt die Hälfte der KMU auf mobile Arbeitsmodelle um: 30 Prozent investieren in Technologie, um die Unterstützung ihrer mobilen Arbeitskräfte zu optimieren. Weitere 20 Prozent planen Investitionen mit ähnlicher Zielrichtung, wie eine Aruba-Studie zeigte. Damit nicht genug: Wie die Ovum-Studie „The European Mobility Management Gap“ ergab, setzen nur 50 Prozent der Unternehmen in Europa Lösungen für MDM (Mobile Device Management) bzw. EMM (Enterprise Mobility Management) ein. Die andere Hälfte verzichtet insbesondere aus Datenschutz- und Kostengründen darauf.
Das ist besorgniserregend, gerade für KMU: Zum einen spielen die Kostenargumente bei den KMU eine noch größere Rolle, die MDM-/EMM-Verbreitung ist dort deshalb noch wesentlich geringer. Zum anderen erfordert der Datenschutz geradezu eine Kontrolle der mobilen Endgeräte, Apps und Daten. Ein Verzicht auf solche Lösungen ist ein echtes Problem. Keine Frage: Es besteht Handlungsbedarf im mobilen Datenschutz, gerade bei KMU.
Datenschutz-Grundverordnung erfordert mehr Durchblick und Kontrolle bei Mobility
Bereits heute bestehen große Schwierigkeiten für KMU, den mobilen Datenschutz umzusetzen. Mit der Datenschutz-Grundverordnung (DSGVO / GDPR), die ab Mai 2018 ohne Verzögerung anzuwenden ist, werden die Aufgaben im mobilen Datenschutz noch größer. Viele KMU in Deutschland müssen deshalb umgehend an ihren Konzepten für Mobile Security arbeiten und die notwendigen Lösungen umsetzen, um die DSGVO fristgerecht einzuhalten. Was insbesondere zu tun ist, zeigen diese Beispiele für verschärfte Anforderungen an den Datenschutz und die Probleme, die bei mobilen Endgeräten bestehen:
- Lokalisierbarkeit der Daten: Die notwendigen Sicherheitsmaßnahmen und die Rechte der Betroffenen zum Beispiel auf Auskunft zu den über sie gespeicherten Daten lassen sich nur umsetzen, wenn die Unternehmen einen genauen Überblick über ihre Datenbestände haben und über die Zugriffe auf die Daten. Bei den Daten, die auf mobilen Endgeräten gespeichert sind oder die mit mobilen Endgeräten verarbeitet werden, ist diese Transparenz kaum zu erzielen, wenn man kein umfassendes Device und Data Management betreibt.
- Recht auf Datenübertragbarkeit: Ohne die zuvor genannte Transparenz zu den Daten können auch die Rechte der Betroffenen auf die Übertragung ihrer Daten an ein anderes Unternehmen kaum sinnvoll umgesetzt werden.
- Recht auf Vergessenwerden / Löschpflichten: Ohne die Transparenz zu den Daten auf mobilen Endgeräten lassen sich auch die Löschpflichten, die der Datenschutz vorsieht, nicht zuverlässig umsetzen.
- Meldepflichten bei Datenschutz-Verletzungen: Gerade mobile Endgeräte gehen häufig verloren oder werden gestohlen. Sind die Daten auf den Smartphones und Tablets der KMU unzureichend geschützt und besteht keine Übersicht über die Daten und Geräte, können die Fristen für die Meldung einer Datenschutz-Verletzung nicht eingehalten werden. Schon heute werden Datenpannen viel zu spät entdeckt, die neue 72-Stunden-Frist zur Meldung verschärft diese Lage noch.
- Dokumentation der Sicherheitsmaßnahmen und Stand der Technik: Die Maßnahmen für die Sicherheit der Verarbeitung müssen auch bei mobilen Endgeräten sichergestellt und dokumentiert werden. Dabei müssen die Maßnahmen dem Stand der Technik entsprechen. Das ist ein deutliches Problem, denn zum einen ist der Sicherheitsstatus ohne entsprechende Management-Tools nur sehr schwierig regelmäßig zu überprüfen und zu dokumentieren. Zum anderen stellt sich die Frage, ob die entsprechenden Management-Tools nicht als Sicherheit nach dem Stand der Technik gewertet werden müssen, sprich, ob man heute noch auf ein Mobile Management verzichten kann, ohne die Forderung nach dem Stand der Technik zu missachten.
- Belastbarkeit der IT: Auch die mobile IT muss die Forderung nach Belastbarkeit erfüllen, wie sie die DSGVO für die Sicherheit der Verarbeitung (Artikel 32) aufstellt. Wenn der Sicherheitsstatus der mobilen Geräte aber nicht ohne weiteres überwacht werden kann, stellt sich die Frage, wie die Belastbarkeit gewährleistet werden soll.
- Privacy by Design und by Default: Mobile Apps, Betriebssysteme und Geräte müssen datenschutzfreundlich entwickelt sein, ebenso müssen die Voreinstellungen datenschutzfreundlich sein. Die entsprechende Datenschutzkontrolle der Einstellungen und Funktionen kann bei der Vielzahl der Geräte und Apps aber kaum per Hand durchgeführt werden. Auch hier fehlen die Mobile Management-Tools bei vielen KMU.
KMU brauchen Mobile Management für Daten, Apps, Geräte und Risiken
Die Datenschutz-Grundverordnung ist ein wichtiges Beispiel für die Bedeutung verbesserter Mobile Security-Konzepte. An der DSGVO zeigt sich, dass KMU mehr Möglichkeiten brauchen, um für Übersicht und Kontrolle bei mobilen Daten, Apps, Geräten und auch Risiken sorgen zu können.
Wenn entsprechende Lösungen aus dem Bereich MDM oder EMM zu kostspielig sind, sollte die Option entsprechender Mobile Management-Lösungen aus der Cloud geprüft werden. Es versteht sich, dass dabei der Cloud-Datenschutz zu beachten ist, da bei der Verwaltung der mobilen Geräte, Apps und Daten in aller Regel Nutzerdaten mit Personenbezug anfallen können.
Weitere Artikel zur EU-Datenschutz-Grundverordnung:
- EU-Datenschutz-Grundverordnung: HPE stellt Starter Kit vor
- EU-Datenschutz-Grundverordnung: Bußgelder könnten drastisch steigen
- EU-Datenschutz-Grundverordnung: weniger als 500 und fallend
- Datenschutz-Grundverordnung: Was Cloud-Nutzer beachten sollten
- Der Mittelstand braucht neue Mobile Security-Konzepte
- EU-Datenschutz-Grundverordnung: Kaspersky Lab bietet Unternehmen Online-Angebot und Assessment-Tool
- DSGVO: 11 Tipps für die optimale Umsetzung
- Wie es mit Datenübermittlungen in Drittstaaten weitergeht
- Was Sie jetzt über Datenschutz-Zertifikate wissen müssen
- Studie: Viele Unternehmen sind noch nicht auf Umsetzung der DSGVO vorbereitet