Seit Jahren spricht die IT Welt von Android Security Problemen. Erfahren Sie hier, welche Auswirkungen das für das sichere mobile Arbeiten & das MDM hat.
Am 23. September 2018 wurde Android 10 Jahre alt und ist mit einem weltweiten Marktanteil von 87,5 % das mit Abstand meistbenutzte Betriebssystem für Smartphones. Neben der Hardware-Unabhängigkeit spielen Gründe wie individuell gestaltbare Nutzeroberflächen, eine große Vielfalt an Apps und die Tatsache, dass Android ein offenes System ist, eine Rolle für die weite Verbreitung von Android.
Perfekt ist Android aber noch lange nicht, vor allem in Hinblick auf die Sicherheit. Mit rund 2 Milliarden Nutzern weltweit ist Android zudem auch von der reinen Masse her für Hacker sehr interessant. So stand schon oft der Vorwurf im Raum, dass Android Security Probleme hat. Im Juli 2015 entdeckten Forscher eine Sicherheitslücke, die es ermöglichte, 95% aller zu diesem Zeitpunkt verfügbaren Androidgeräte auszuspionieren. Doch blieb beim sogenannten Stagefright ebendieser Supergau zum Glück aus. Um weitere Pannen zu vermeiden, hat Google zahlreiche Maßnahmen zur Erhöhung der Android Security gestartet.
Die größten Android-Sicherheitsrisiken für die Unternehmens-IT
Nun stellt sich insbesondere für die Unternehmens-IT die Frage, wie man Androidgeräte dennoch sicher im beruflichen Alltag verwenden kann. Denn Arbeitnehmer nutzen vermehrt auch private Geräte, um berufliche Mails zu checken bzw. Firmenhandys für private Dinge. Laut einer aktuellen Befragung von Michael Page sind das immerhin 35% der befragten Arbeitnehmer, die das private Smartphone für Berufliches nutzen und umgekehrt sogar 48%, die Diensthandys und -tablets für private Zwecke verwenden. Diese vermischte Nutzung bereitet vor allem der internen IT Bauchschmerzen, aber auch in Hinblick auf die korrekte Einhaltung der DSGVO gibt es einige Aspekte zu beachten. Welche Risiken es speziell beim Einsatz Android-basierter Geräte im Unternehmen zu beachten gilt und wie man diese umgehen kann, erfahren Sie hier:
Updateproblematik
Android ist nicht unbedingt gleich Android – denn jeder Smartphone-Hersteller ist dafür verantwortlich, welche Version auf welchem Gerät läuft. Auch branden die Hersteller Android ganz unterschiedlich und passen die Standardversion an das eigene Unternehmen an. Das führt dazu, dass Updates teilweise erst Monate nach den offiziellen Veröffentlichungen durch Google verfügbar sind, je nachdem, wie schnell die Hersteller diese zur Verfügung stellen und entsprechend anpassen.
Im Extremfall gibt es bei älteren oder sehr günstigen Geräten ab einem bestimmten Zeitpunkt gar keine Updates mehr oder sie kommen schon mit veralteten Betriebssystemen beim User an. Denn die Hersteller sind nicht dazu verpflichtet, neue Updates zur Verfügung zu stellen. Selbst bekannte Sicherheitslücken können also nicht mehr geschlossen werden und bleiben bestehen, bis ein neues Gerät erworben wird.
Die besondere Problematik bei ausbleibenden Updates ist, dass auf Sicherheitslücken nicht reagiert werden kann. Wenn der Hersteller die Updates eines Modells nicht mehr unterstützt, werden entdeckte Sicherheitslücken zwar von Google in neuen Android Versionen geschlossen aber nicht auf die Geräte verteilt.
G
oogle-Smartphones sind dabei natürlich die Ausnahme, auf diesen sind Updates sofort bzw. spätestens innerhalb von zwei Wochen verfügbar. Mit Geräten aus der Enterprise Edition richtet sich Samsung außerdem immer mehr auf den Geschäftskundenbereich aus. Enterprise-Geräte erhalten eine zu bis zu 4-jährige Updategarantie ab dem Verkaufsstart. Diese umfasst bis zu zwei neue Android-Versionen sowie monatliche bzw. dreimonatige Sicherheitsupdates.
Übermittlung sensibler Daten durch Apps
Häufig benötigen Applikationen wie WhatsApp Zugriff zu privaten Daten, wie beispielsweise Standort, Telefonnummer, E-Mail-Adresse oder Kontakte. Dies konnte bis zum Marshmallow Update (Android-Version 6.0) standardmäßig nur verwehrt werden, wenn die Software nicht installiert wurde. Seit Marshmallow können Zugriffe auf Standort oder Kontakte blockiert werden. Über externe Apps oder das Erstellen von Kontaktgruppen ist es zwar möglich, den Zugriff nur für ausgewählte Kontakte zu genehmigen, sehr nutzerfreundlich ist das aber nicht.
Der Großteil der User – unabhängig davon, ob sie Android oder iOS nutzen – erteilt Apps wie WhatsApp beim Installieren einmalig die Berechtigungen und denkt anschließend nicht mehr darüber nach, welche App auf welche Daten zugreift. Das ist vor allem in Hinblick auf die DSGVO ein großes Risiko. Mehr dazu, wie Sie WhatsApp und Co. dennoch DSGVO-konformen nutzen, lesen sie im Artikel über mobile Risiken.
Schadsoftware durch 3rd Party Apps
Seit Anfang 2012 werden alle Apps im Google Play Store automatisch geprüft, bevor sie zum Download zur Verfügung stehen. Dennoch gilt der Play Store als weniger sicher als der App Store von Apple und es kommt immer wieder dazu, dass Sicherheitsvorkehrungen umgangen werden. Apps landen dann trotz Überprüfung im Play Store und können Nutzer ausspähen oder sensible Daten abfangen. Google ist sich dem Problem bewusst und tut einiges, um den Play Store sicherer zu machen, Sicherheitsrisiken sind aber dennoch vorhanden.
Zudem ist der Google Play Store nicht der einzige App Store für Android-Geräte. Ungeprüfte Apps können daher vom User manuell installiert werden. Diese Installation Bedarf zwar der direkten Einwilligung des Users, dennoch landet auf diesem Weg immer wieder sogenannte Malware auf dem Smartphone.
Container-App: Sicheres mobiles Arbeiten mit Androidgeräten
Wie können diese Risiken nun am besten umgangen werden und gleichzeitig sichergestellt werden, dass private und berufliche Daten auf Android-Geräten zuverlässig auseinandergehalten werden? Und das sowohl im BYOD (Bring Your Own Device) als auch im COPE (Corporate-Owned, Personally Enabled) -Modell?
Eine nahegelegene Möglichkeit für Unternehmen ist es, die dienstliche Nutzung von Android-Geräten entweder generell zu verbieten oder erst ab einer bestimmten Android Version zu erlauben. Mobile Device Management (MDM) Lösungen sind ein weiterer Weg, mobile Android-Geräte sicher zu verwalten, vor allem in größeren Unternehmen kommt MDM häufig zum Einsatz. Über ein MDM kann ein Unternehmen beispielsweise den Download bestimmter Apps generell sperren oder deren Einstellungen zentral verwalten, was allerdings sehr aufwendig ist und nicht alle Probleme der Datentrennung löst.
Daneben sind Container-Lösungen wie SecurePIM von Materna Virtual Solution eine sehr schnell umsetzbare Möglichkeit, private und berufliche Daten auf Android-Geräten sicher zu trennen und alle vorher genannten Sicherheitsprobleme zu umgehen.
Mit Hilfe einer durchdachte Containerisierung bietet SecurePIM höchste Datensicherheit für Android-Geräte, aber auch iOS-Devices. Sämtliche Firmendaten werden in einem Container auf dem mobilen Endgerät aufbewahrt und sind doppelt verschlüsselt, auf dem Gerät selbst und bei der Übertragung. Firmendaten, die im Container liegen, sind vor Zugriffen von fremden Apps oder Schadsoftware geschützt.
Gleichzeitig kann die IT nicht auf private Daten der Mitarbeiter zugreifen, die in anderen Bereichen des Android-Geräts liegen. Im Falle eines Verlusts kann der Container einfach remote gelöscht werden – sowohl bei BYOD als auch bei COPE. Im zugehörigen SecurePIM Management Portal können sämtliche Sicherheitseinstellungen für die dienstlich verwendeten mobilen Endgeräte vorgenommen werden.
Selbstverständlich bleiben auch bei der Benutzerfreundlichkeit keine Wünsche offen. Die Container-App ist an das Android Look and Feel angepasst und kann daher ohne großen Schulungsaufwand eingesetzt werden. Die aufwendigen Verschlüsselungsvorgänge erfolgen automatisiert im Hintergrund. Die Kommunikation erfolgt intuitiv, ohne großen Aufwand für den Nutzer.
Fragen Sie jetzt ihre Testversion an. Kostenlos und unverbindlich! Zur Testversion
Falls Sie über aktuelle Blogartikel informiert werden möchten, stehen Ihnen verschiedene Möglichkeiten zur Auswahl, um dem Blog zu folgen: