{"id":10939,"date":"2017-04-11T12:38:42","date_gmt":"2017-04-11T10:38:42","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=10939"},"modified":"2017-04-06T10:42:11","modified_gmt":"2017-04-06T08:42:11","slug":"spioniere-an-einem-anderen-tag-wie-mobile-agenten-in-die-privatsphaere-von-benutzern-eindringen","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=10939","title":{"rendered":"Spioniere an einem anderen Tag: Wie mobile Agenten in die Privatsph\u00e4re von Benutzern eindringen"},"content":{"rendered":"
\"\"<\/a>
Eduard Meelhuysen, Vice President Sales EMEA bei Bitglass<\/figcaption><\/figure>\n

Autor\/Redakteur: Eduard Meelhuysen, Vice President EMEA Sales bei Bitglass<\/a>\/gg<\/p>\n

Mit der zunehmenden Einf\u00fchrung von BYOD im Arbeitsalltag stehen Unternehmen vor der Herausforderung, Datensicherheit, Privatsph\u00e4re und Benutzerfreundlichkeit miteinander in Einklang zu bringen. Um die mit dem Unternehmensnetzwerk verbundenen Mobilger\u00e4te zu \u00fcberwachen, setzen zahlreiche Firmen auf Mobile Device Management-L\u00f6sungen (MDM). Dies erfordert die Installation eines Software-Agenten auf dem privaten Endger\u00e4t der Mitarbeiter. In der Regel sind sich die Mitarbeiter dar\u00fcber bewusst, dass sie durch die Aktivierung der Software auf ihren pers\u00f6nlichen Ger\u00e4ten ein gewisses Ma\u00df an Kontrolle \u00fcber ihre Daten an ihren Arbeitgeber abgeben.<\/p>\n

<\/p>\n

Wie ein Experiment von Bitglass allerdings zeigt, hat die allgemein vorherrschende Vorstellung, sowohl auf Seiten der Mitarbeiter als auch der Arbeitgeber, mit der Realit\u00e4t wenig zu tun. Vor allem mit Blick auf die Europ\u00e4ische Datenschutzgrundverordnung (DSGVO), die im Mai 2018 in Kraft treten wird und Nutzern mehr Rechte zur Wahrung ihrer Privatsph\u00e4re einr\u00e4umt, lassen die Ergebnisse aufhorchen.<\/p>\n

Das Experiment<\/strong><\/p>\n

In einem einw\u00f6chigen Experiment testete ein IT-Forschungsteam von Bitglass, inwieweit MDM dazu genutzt werden kann, Smartphones und Tablets von Mitarbeitern ohne ihr Wissen zu \u00fcberwachen und zu steuern. Jeder, der an der Studie teilnahm, gab dem Team die Erlaubnis, MDM-Zertifikate per Push an ihre Ger\u00e4te zu \u00fcbertragen. Eine Praxis, die \u00fcblicherweise f\u00fcr die Daten\u00fcbertragung \u00fcber das Firmennetzwerk \u00fcber ein Virtual Private Network (VPN) oder einen globalen Proxy verwendet wird. In nur sieben Tagen sammelte die MDM-Software eine Reihe von Informationen \u00fcber die Interessen, Aktivit\u00e4ten, Identit\u00e4ten und Beziehungen der Mitarbeiter. W\u00e4hrend des Experiments gelang es den Versuchsleitern, auf folgende Informationen zuzugreifen:<\/p>\n

    \n
  1. Surfverhalten<\/strong><\/li>\n<\/ol>\n

    Mit dem Routing des Datenverkehrs \u00fcber einen globalen Proxy war es m\u00f6glich, das Surfverhalten von Mitarbeitern zu erfassen. Der Zugriff auf ihren Browserverlauf gew\u00e4hrte Einblick in s\u00e4mtliche Vorg\u00e4nge, von der Amazon-Produktsuche \u00fcber vertrauliche Anfragen bei Gesundheitsdienstleistern bis hin zu politischen Interessen und Mitgliedschaften.<\/p>\n

      \n
    1. SSL-verschl\u00fcsselte Daten<\/strong><\/li>\n<\/ol>\n

      Dar\u00fcber hinaus gelang es den IT-Experten, mittels eines globalen Proxies in Verbindung mit einem vertrauensw\u00fcrdigen Zertifikat, die SSL-Verschl\u00fcsselung zu deaktivieren. Durch die unverschl\u00fcsselte Umleitung von SSL-Datenverkehr erhielt das Forschungsteam Zugang zu den pers\u00f6nlichen E-Mail-Postf\u00e4chern von Benutzern, ihren Konten bei sozialen Netzwerken und Bankdaten. Mit anderen Worten: Alle sicheren Anmeldedaten wurden offengelegt, da Benutzernamen und Kennw\u00f6rter, die zur Kontoanmeldung verwendet werden, als Klartext an den Server der Versuchsleiter \u00fcbermittelt wurden.<\/p>\n

        \n
      1. E-Mailverkehr<\/strong><\/li>\n<\/ol>\n

        Die F\u00e4higkeit zur \u00dcberwachung aus- und eingehender privater Kommunikation mittels MDM war auch bei Apps von Drittanbietern m\u00f6glich \u2013 und sogar auf iOS, was die vorherrschende Meinung, dass App-Sandboxing den Einblick von Arbeitgebern in das Benutzerverhalten einschr\u00e4nke, wohl widerlegt. Mit Hilfe von Apps wie Gmail und Messenger gelang es sogar, versendete pers\u00f6nliche Mitteilungen abzufangen und eine Liste aller auf dem Ger\u00e4t eines Mitarbeiters installierten Apps zu erstellen.<\/p>\n

          \n
        1. Aufenthaltsorte<\/strong><\/li>\n<\/ol>\n

          Die meisten Teilnehmer des Experiments waren sich dar\u00fcber bewusst, dass Administratoren verwalteter Ger\u00e4te problemlos deren Standort ermitteln k\u00f6nnen, sofern GPS aktiviert ist. Wenigen war jedoch klar, inwieweit dies f\u00fcr das Erstellen eines Bewegungsprofils missbraucht werden kann. Das Forschungsteam ging noch einen Schritt weiter und sorgte daf\u00fcr, dass GPS ohne Benachrichtigung des Benutzers im Hintergrund aktiv blieb. Dies ging nicht nur deutlich zu Lasten der Akkuleistung, sondern gab anhand des Standorts auch Auskunft \u00fcber die Freizeitgewohnheiten der Teilnehmer. Dadurch konnte das Forschungsteam nachvollziehen, wo die Mitarbeiter ihre Freizeit verbrachten, wie h\u00e4ufig sie einkaufen gingen und vieles mehr.<\/p>\n

            \n
          1. Ger\u00e4teeinstellungen<\/strong><\/li>\n<\/ol>\n

            Vor allem das im Rahmen von MDM m\u00f6gliche Zur\u00fccksetzen der Ger\u00e4teeinstellungen, bereitet Mitarbeitern Sorgen, da viele von ihnen private Kontakte, Notizen, Fotos und andere Daten auf ihren pers\u00f6nlichen Ger\u00e4ten speichern. Dem Forschungsteam gelang es im Experiment, mittels MDM die Backup-Funktion so einzuschr\u00e4nken, dass eine Wiederherstellung von Diensten wie iCloud unm\u00f6glich wurde und den Betroffenen so gut wie keine M\u00f6glichkeit zur Wiedergewinnung verlorener Daten blieb.<\/p>\n

              \n
            1. Benutzerzugriff<\/strong><\/li>\n<\/ol>\n

              Das Forschungsteam war zudem in der Lage, in zentrale Sicherungs- und Sperrfunktionen einzugreifen und so den Benutzerzugriff auf die Kamera, Apps wie FaceTime und grundlegende Aktionen wie Kopieren und Einf\u00fcgen einzuschr\u00e4nken.<\/p>\n

              Angesichts des bevorstehenden Inkrafttretens der DSGVO im Mai 2018 ist es f\u00fcr europ\u00e4ische Unternehmen ratsam, die Sicherheit ihrer BYOD-Konzepte \u2013 beziehungsweise deren Potential f\u00fcr Sicherheitsl\u00fccken \u2013 einer Pr\u00fcfung zu unterziehen. Sie m\u00fcssen sicherstellen, dass Mitarbeiterdaten nur in dem laut Datenschutzvereinbarung deklarierten Ausma\u00df verarbeitet und gespeichert werden. Gleichzeitig muss die Art der Datenverarbeitung gew\u00e4hrleisten, dass Mitarbeiter ihre Einwilligung dazu widerrufen k\u00f6nnen und die bereits gesammelten Daten nicht an Dritte \u00fcbermittelt sowie im Fall eines Widerspruchs gel\u00f6scht werden k\u00f6nnen.<\/p>\n

              F\u00fcr den Fall, dass Mitarbeiter auf Grund von Datenschutzbedenken die Installation von MDM-L\u00f6sungen ablehnen, sollten Unternehmen bei der mobilen Sicherheit auch andere Ans\u00e4tze in Betracht ziehen. Agentenlose BYOD-Softwarel\u00f6sungen beispielsweise erm\u00f6glichen ein verbessertes Anwendungserlebnis, da keinerlei Einschr\u00e4nkungen in den Ger\u00e4te- und Anwendungsfunktionen vorgenommen werden. Gleichzeitig ist die vollst\u00e4ndige \u00dcbersicht und Kontrolle \u00fcber Gesch\u00e4ftsdaten sichergestellt, ohne in die Privatsph\u00e4re der Endbenutzer einzugreifen, womit die Einhaltung von Datenschutzbestimmungen gew\u00e4hrleistet ist.<\/p>\n

              Weitere Informationen: https:\/\/www.dropbox.com\/s\/k6ig6mp5f7p49nw\/Spy_Another_Day_EU1.pdf?dl=0<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

              Autor\/Redakteur: Eduard Meelhuysen, Vice President EMEA Sales bei Bitglass\/gg Mit der zunehmenden Einf\u00fchrung von BYOD im Arbeitsalltag stehen Unternehmen vor<\/p>\n","protected":false},"author":3,"featured_media":10936,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[8,37],"tags":[1693,2073,62,6263,9407,6258,8005,9408,4056,8173,3007,348,870,764,5337,6586,4568,36,1701,2312,6267,180],"class_list":["post-10939","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artikel","category-security","tag-agent","tag-amazon","tag-android","tag-backup","tag-bitglass","tag-byod","tag-datenschutzgrundverordnung","tag-dsgvo","tag-facetime","tag-gmail","tag-gps","tag-ios","tag-kamera","tag-mdm","tag-messenger","tag-mobile-computing","tag-privatsphaere","tag-sicherheit","tag-smartphone","tag-ssl","tag-verschlusselung","tag-vpn"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/10939","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=10939"}],"version-history":[{"count":1,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/10939\/revisions"}],"predecessor-version":[{"id":10940,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/10939\/revisions\/10940"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/media\/10936"}],"wp:attachment":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=10939"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=10939"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=10939"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}