Was ein Smartphone oder Tablet für die Arbeit so attraktiv macht, ist dessen unschlagbare Fähigkeit, Informationen schnell, einfach und direkt auszutauschen. Das geschieht über Schnittstellen wie Bluetooth, GSM, USB, GPS oder NFC. Mobilgeräte sind üppig damit bestückt. Diese Schnittstellen sind aber zugleich potenzielle Schlupflöcher für Attacken von außen. Angreifer können diese ausnutzen, um sensible Daten an sich zu bringen.
Im Jahr 2017, entdeckte Armis Labs einen Bluetooth-basierten Angriffsvektor namens „BlueBorne“, der es auf iOS-, Android-, Linux und Windows-Geräte abgesehen hatte. Dieser Angriff nutzte Schwachstellen in Bluetooth-Protokollen aus und konnte sich so auf nahegelegene Geräte ausbreiten. Einen Bestätigungscode – wie bei Bluetooth-Übertragungen üblich – mussten sie nicht akzeptieren.
Durch ein schnelles Sicherheitsupdate konnte „BlueBorne“ zwar schnell ausgesperrt werden. Der Vorfall zeigt jedoch, welche Risiken in den Schnittstellen stecken. Es lässt sich kaum absehen, welche anderen Schwachstellen bei Bluetooth, Wi-Fi oder Mobilfunkverbindungen noch zu Tage treten könnten. Immer wieder kommt es zu Vorfällen:
Schutz vor Risiken dieser Art verspricht eine End-to-End-Verschlüsselung auf mobilen Geräten, wie sie bei Android-, iOS- und Universal Windows Platform (UWP)-Geräten verwendet wird. Auch ein Zertifikat Pinning ist hilfreich, um einen Ausfall der Link-Level-Verschlüsselung, also der Verschlüsselung von Daten zwischen Sender und Empfänger, wie bei KRACKs zu verhindern.
Zusätzlich drohen den Mobilgeräten Gefahren aus dem Unternehmensnetzwerk – wie jedem anderen Computer, der damit vernetzt ist. Untersuchungen der National Vulnerability Database fanden Schwachstellen für nahezu alle Plattformen mobiler Geräte. Bei den meisten handelt es sich um Denial-of-Service-Schwachstellen, lokale Schwachstellen oder solche, die die Unterstützung des Benutzers bei der Installation von Malware benötigen. Einige Lücken ermöglichen es einem Angreifer auch, die externe Ausführung von Malware auf einem Gerät zu veranlassen. Manchmal kombinieren Hacker auch verschiedene Techniken bei ihren Angriffen.
Obwohl mobile Plattformen Unternehmen einen gewissen Schutz vor Angriffen auf Geräteebene bieten, ist die Sicherheit der Daten während der Übertragung weitestgehend von den verwendeten Protokollen abhängig. Für den TCP/IP-Verkehr stehen sichere Protokolle und ausgereifte Netzwerkstacks zur Verfügung. Die Sicherheit des SMS- und Sprachverkehrs hängt wiederum von den Stärken des Global System for Mobile Communications (GSM) und seiner Erweiterungen ab, die auch bereits diversen Angriffen ausgesetzt waren. Im September 2015 wurde z.B. eine Schwachstelle im AirDrop-Protokoll auf iOS 8.4.1 entdeckt, die es Hackern ermöglichte, Malware über die Bluetooth-Verbindung zu installieren. Im Jahr 2017 entdeckten Forscher Schwachstellen im Protokoll Signaling System 7 (SS7), das von Mobilfunkbetreibern für die Mobilfunkkommunikation verwendet wird. Diese Schwachstellen ermöglichten es Hackern, Codes für die Zwei-Faktor-Authentifizierung im Online-Banking zu stehlen
Aber auch spezielle Schnittstellen wie GPS oder Gyroskop- und Fitnesssensoren geraten in die Aufmerksamkeit der Angreifer. Zum Beispiel nutzen sie GPS-Koordinaten, um spezifische Angriffe auf Benutzer in bestimmten Regionen zu richten.
Nicht immer sind es die technischen Schwachstellen, die den Angriffen Tür und Tor öffnen. Durch Social Engineering und Phishing-Attacken können sich Hacker Zugang zu Mobilgeräten verschaffen und darüber die Firma ausspionieren. Skycure berichtet beispielsweise, dass ein Benutzer durch Social Engineering oder einen Phishing-Angriff ein neues Konfigurationsprofil auf einem iOS-Gerät installieren kann. Das Schadprofil kann dann ein vertrauenswürdiges Root-Zertifikat zusammen mit einer VPN-Konfiguration enthalten, die eine Fernsteuerung, Überwachung und Manipulation der Benutzeraktivität und das Abfangen aller Sitzungen des Geräts ermöglicht. Apple hat Patches veröffentlicht, die den Angriff zwar erschwert haben, dieser kann aber immer noch durch zusätzliche Social Engineering Taktiken durchgeführt werden. Diese Art von Angriffen sind auf den meisten mobilen Geräten erfolgreich.
Beim Kampf gegen Hacker gilt es, den Angreifern stets einen Schritt voraus zu sein – das gilt auch für den Schutz der Mobilgeräte. Und um Angriffe zu verhindern, müssen Unternehmen zunächst und vor allem wissen, welche Gefahren „da draußen“ drohen. Darüber hinaus hilft es sicherlich, diese allgemeinen Tipps zu beherzigen:
Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.
Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.
Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.
Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.
Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…
Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…