Am 8. Februar hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Empfehlungen zum Umgang mit Smartphones herausgegeben. Insbesondere Privat- bzw. Individualnutzer finden hier nützliche Tipps rund um die Sicherheitsrisiken bei der Smartphone-Nutzung.
Ein Teil der Empfehlungen des BSI im beruflichen Umfeld ist allerdings nur bedingt umsetzbar:
- Während E-Mail-Verschlüsselung zum Teil bereits integrierte Basisfunktionalität von Smartphone-Plattformen ist, hapert es zum Teil noch mit der Unterstützung von Standards. Das iPhone in iOS4 beispielsweise ist noch nicht mit S/MIME kompatibel, was eine Integration in die unternehmensweite Verschlüsselungsinfrastruktur erschwert.
- Für Unternehmen mit hohen Sicherheitsanforderungen macht eine Zweifaktor-Authentisierung mittels Smartcard am Smartphone Sinn. Leider tun sich viele Unternehmen selbst bei den ubiquitären Notebooks noch schwer damit. Und nicht jedes Smartphone hat einen SD-Kartenslot. Hier muss wieder einmal das Beispiel Apple herhalten. Eine Alternative wäre die Nutzung eines Software-Tokens, der für viele Nutzer bereits ein ausreichendes Authentisierungsniveau bietet.
- Krypto-Handies und das Verbot von Smartphones in Besprechungsräumen sind in der Regel nur für Nutzer mit sehr hohem Schutzbedarf angemessen, da es hier primär um die Abwehr gezielter Spionageangriffe geht – ein Problem, das heute viele Unternehmen betrifft, aber nur einen kleinen Nutzerkreis.
Nichtsdestotrotz kann ich dem BSI nur beipflichten: die Unternehmen müssen noch lernen, dass Smartphones nicht einfach nur kluge Geräte zum Telefonieren sind, sondern zunehmend vollwertige IT-Endgeräte, die genauso zu schützen sind wie etwa auch Notebooks. Das ist gar nicht so einfach. Immer mehr Anwender möchten Smartphones auf Basis von iOS 4 oder Android. Beide sind nach heutigem Stand für hohe Sicherheitsanforderungen bedingt oder gar nicht geeignet. Speziell die Android-Implementierungen sind vor Sicherheitsgesichtspunkten momentan noch nicht ausgereift, so dass ein Unternehmen sich genau überlegen muss, für welche Art von Kommunikation und Diensten diese Geräte einsetzbar sind.
In Kürze: „Smartphone-Sicherheit: Wie schütze ich mich als Unternehmen?“
