1. Zwei Faktor Authentifizierung aktivieren

Cloud Apps und Services ermöglichen eine sehr einfache Bereitstellung und Nutzung von Anwendungen. Hierbei sollte jedoch nie das passende Zugriffskonzept vergessen werden. Im Gegensatz zu Anwendungen im Unternehmensnetzwerk sind Cloud Apps von überall auf der Welt erreichbar – Fluch und Segen zugleich. Daher sind andere Sicherheitsmechanismen nötig.

Nahezu jede professionelle Cloud Anwendung bietet heute die Möglichkeit den Zugriff neben dem Kennwort zusätzlich mit einem sog. 2. Faktor zu schützen. Hier gibt es viele verschiedene Verfahren, welche ggf. auch schon für bestehende Anwendungen verwendet werden. Am einfachsten ist die Verwendung von einem One Time Passwort. Dies wird in einer separaten App, die einmal eingerichtet werden muss, erzeugt und muss neben dem Benutzernamen und Kennwort eingegeben werden.

Häufig ist diese Funktion ohne zusätzliche Kosten für alle Nutzer aktivierbar. Jeder einzelne Nutzer sollte ein Interesse am Schutz seines Zugriffs haben und darüber hinaus können wir jedem Unternehmen empfehlen die Nutzung der 2-Faktor Authentifikation verpflichtend zu aktivieren

Weiterführende Informationen gibt auch der BSI u.a. unter https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/Zwei_Faktor_Authentisierung/Zwei-Faktor-Authentisierung_node.html

Tipp: Die Empfehlung gilt gleichermaßen auf für private Accounts wie PayPal & Co.

 

2. Nicht mit unbekannten Wifis verbinden

Kostenfreie WIFIs gibt es an jeder Ecke und sind gerne gesehen. Jedoch ist es keineswegs ratsam diese leichtfertig für geschäftliche Zwecke zu verwenden. Je nach Einstellung der lokalen Firewall kann das eigene Gerät hier schnell von Böswilligen identifiziert und gehackt werden, wenn dies überhaupt nötig ist.

Typische Angriffsszenarien sind parallel betriebene Wifis mit ähnlichen Namen, gefälschte Login Seiten die Schadcode auf die Geräte bringen oder andere Wifi Geräte, die den Datenverkehr mitlesen und kompromittieren können. Empfehlenswert ist die Verwendung des eigenem Mobilfunk-Hotspot, diese Funktion bietet heute jedes Smartphone. Sollte der Tarif doch mal ausgeschöpft sein, sollte man genau prüfen mit welchem Wifi man sich jetzt verbindet und welche Anwendungen und Websites man benutzt. In jedem Fall sollte das automatische Verbinden mit Wifis deaktiviert sein und öffentliche Wifis nicht automatisch verbunden werden. Hinweise zum Umgang mit fremden WLAN Umgebungen finden Sie beim BSI.

 

3. Virenscanner aktuell halten

Es klingt so selbstverständlich und doch wird es häufig vernachlässigt oder beim schnellen Umstieg auf Home-Office vergessen. Sicherlich laden Viren und Schutzsoftware mehrmals am Tag aktuelle Virensignaturen. Befindet sich das Gerät jedoch über eine längere Zeit nicht im Firmennetzwerk, werden z.B. Softwareupdates und Sicherheitseinstellungen nicht aktualisiert oder Meldungen über eventuelle Gefahren nicht an die Managementanwendungen weitergegeben.

Prüfen Sie deshalb die Aktualität Ihrer Schutzsoftware. Empfehlenswert sind cloud-basierte Anwendungen oder Einstellungen, dass diese auch über das Internet oder im VPN vollständig aktualisiert werden.

 

4. Sichtschutz

Bei IT-Sicherheit denkt man immer gleich an Viren, Verschlüsselungstrojaner und Backup. Es kommt jedoch oft genug vor, dass auf Veranstaltungen oder der Sitznachbar im ICE einen Blick auf das Notebook des Nachbarn wirft und Passwörter in Klartext oder andere einfache Informationen erlangt. Einfachen Schutz bieten Sichtschutzfolien, diese sind günstig erhältlich und stören im Alltag auch nicht ernsthaft. Hier sollten für den Laptop passende gewählt werden.

 

5. Daten nicht lokal speichern

Unternehmensdaten gehören auf den Server. Für jeden so selbstverständlich, wird es doch so oft missachtet wird. Gerade eine Präsentation mit sensiblen Daten noch vorm Termin fertig gemacht und auf dem Desktop oder USB-Stick gespeichert, weil keine Internetverbindung da war. Das Übertragen kommt später oder auch nie. Eine Variante sind organisatorische Maßnahmen und Arbeitsanweisungen, aber auch die Umsetzung ist endlich, ganz zu schweigen von der Prüfung der Einhaltung. Eine Lösung sind moderne Enterprise File Sync and Share Services. Hier werden lokal gespeicherte Dateien bei der nächsten Internetverbindung automatisch gemäß den Unternehmensrichtlinien in die Cloud oder das Firmennetzwerk übertragen.

 

6. VPN nutzen

VPN – Virtual Private Network. Spätestens seit der Corona Pandemie kennt nahezu jeder Büroangestellte diese Technologie. Typischerweise erfolgt hierbei einfach eine Verbindung des Notebooks mit dem Firmennetzwerk und ermöglicht Zugriff auf Unternehmensanwendungen und -ressourcen, die hierdurch nicht öffentlich im Internet erreichbar sind. Nahezu jede handelsübliche Firewall unterstützt grundlegende VPN Funktionalitäten und diese sollten unbedingt genutzt werden.

 

7. Unterschiedliche und komplexe Kennwörter und Passwort-Manager

Es ist so schön einfach für möglichst viele Dienste das gleiche Kennwort zu verwenden. Das Ergebnis ist, dass Hacker die das Kennwort einmal erlangt haben, damit gleich alle möglichen Dienste des Anwenders verwenden können und das häufig auch noch unbemerkt. Daher ist es dringend empfohlen unterschiedliche Kennwörter zu verwenden, die eine möglichst hohe Komplexität haben. Nun lassen die sich aber schlecht merken, hier gibt es teilweise auch schon kostenlose Passwort Manager oder Tresore, welche die Kennwörter zentral speichern oder sogar ganz komfortabel den automatischen Login per Browser-Plugin übernehmen.

Weit verbreitet ist in Unternehmen auch noch die Anweisung, dass Kennwörter in kurzen Abständen geändert werden müssen. Diese Empfehlung ist überholt, besser sind wenige zentrale Anmeldeverfahren und diese eben möglichst sicher mit komplexen Kennwörtern zu versehen.

https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/ORP/ORP_4_Identit%C3%A4ts-_und_Berechtigungsmanagement.html

 

8. Zoom und andere Konferenzen absichern

Bei größeren Zoom Konferenzen verliert man schnell den Überblick über die Teilnehmer, da ist auch schnell mal jemand unbemerkt in der Runde. Inzwischen haben Anbieter wie Zoom nachgezogen und standardmäßige Kennwörter bei Meetings eingefügt, doch häufig werden diese aus Gründen der Bequemlichkeit wieder entfernt. Verwenden Sie möglichst für jedes Meeting insbesondere mit externen Teilnehmern immer unterschiedliche Meeting IDs und aktivieren Sie den Kennwortschutz. Moderne Konferenzlösungen fügen die Kennwörter direkt in die Links ein, dass diese nicht einmal mehr abgetippt werden müssen.

 

9. Cloud Apps nur aus VPN erreichbar machen

Ein zusätzlicher Schutz von Cloud Apps ist der Zugriff nur von Firmen-eigenen Netzwerken bzw. IP-Adressen auf die Unternehmensaccounts. VPN ist eine sehr verbreitete und generell empfehlenswerte Technologie und ermöglicht Anwendern nach Aufbau der VPN Verbindung Zugriff auf die Cloud Apps. Alternativ zum herkömmlichen VPN können auch andere Private Access oder Authentifizierungsmethoden zusätzliche aktiviert werden.