Visual und Audible Hacking: Unterschätzte Gefahren im Zug

Laut kaspersky-Experiment waren mehr als 2.000 Geschäftsgeheimnisse in 170 Zugwaggons potenziell zugänglich

[datensicherheit.de, 09.07.2019] „Was nützt die beste Firewall oder die ausgefeilteste IT-Sicherheitsschulung, wenn Mitarbeiter auf Geschäftsreisen via Laptop und Smartphone sensible Firmendaten für Dritte zugänglich machen?“ Dieser Frage ging kaspersky nach eigenen Angaben im Rahmen eines Experiments nach, um zu veranschaulichen, „wie viele, nicht für die Öffentlichkeit bestimmte, Informationen Geschäftsreisende im Zug – oft unwissentlich – preisgeben“. Das Resultat: 2.245 potenziell einsehbare und mitzuhörende Informationen wie Name und Unternehmen von Geschäftsleuten beziehungsweise von Kollegen und Partnern. Das entspreche durchschnittlich 13 sensiblen Business-Informationen pro Zug – in der Ersten Klasse seien es mit 23 fast doppelt so viele –, auf welche der Tester Zugriff gehabt hätte. kaspersky ermahnt daher Unternehmen und Organisationen, „die Gefahr des Visual- beziehungsweise Audible Hackings nicht zu unterschätzen, denn gravierende Datenschutzverletzungen sowie Wirtschaftsspionage und zielgerichtete Attacken könnten die Folge sein“.

13 sensible Geschäftsinformationen pro Wagen öffentlich zugänglich

Während des kaspersky-Experiments habe der beauftragte Tester 281 physische Dokumente und 1.193 Bildschirme (Laptops, Smartphones oder Tablets) mit Business-Bezug anonym per Strichlistenzählung einsehen können. Hinzu kämen 106 mithörbare Geschäftstelefonate.
Dabei wären potenziell 2.245 Geschäftsgeheimnisse wie Name und Unternehmen der Geschäftsreisenden selbst sowie von Kollegen, Kunden und Partnern für die anderen Zuggäste einseh- beziehungsweise mithörbar gewesen – und das an nur fünf Testtagen und exemplarischen Routen mit insgesamt 170 Waggons. „Das heißt: 13 sensible Geschäftsinformationen pro Wagen waren während des Experiments öffentlich zugänglich. Interessant: Die meisten – mit durchschnittlich 23 – werden von Geschäftsreisenden der Ersten Klasse preisgegeben.“

Zu sorgloser Umgang mit Laptops, Smartphones und Tablets

Die meisten Mitarbeiter verrieten geschäftlichen Interna „durch einen zu sorglosen Umgang mit Laptops, Smartphones und Tablets“. Denn moderne Displays ermöglichten Dritten einen eigentlich unerwünschten Einblick in die virtuellen Büros und Meeting-Räume von Unternehmen. Die meisten sensiblen Geschäftsinformationen seien im kaspersky-Experiment über E-Mails sichtbar gewesen:

• E-Mail: 699 (58 Prozent)
• „Office“-Dokument: 297 (25 Prozent)
• Web-Browser: 128 (11 Prozent)
• Messenger-Dienst: 22 (2 Prozent)
• Sonstiges: 47 (4 Prozent)

„Das kaspersky-Experiment hat meine bisherige Vermutung, dass Geschäftsreisende oft zu sorglos mit Unternehmensinformationen umgehen, definitiv bestätigt“, sagt Stephan Schilling, der kaspersky-Testbeauftragte. „Die Reisenden haben oft kein Bewusstsein dafür, dass Visual und Audible Hacking ein riesiges Datenschutzproblem darstellen.“

„Worst Cases“ laut kaspersky-Experiment:

• Von einem Reisenden sei ein Laptop verwendet worden, der zur 2-Faktor-Authentifizierung mit einer ID-Card gesichert gewesen sei oder eine Verbindung genutzt habe, die eine solche ID-Card benötigt. Auf der ID-Card seien allerdings Klarname, Unternehmen und eine ID-Nummer eindeutig zu erkennen gewesen. „Ein Beispiel dafür, wie selbst eine Sicherheitsmaßnahme Informationen verrät, die nicht für Außenstehende bestimmt sind.“

• Ein Reisender (vermutlich Anwalt) habe ein langes Telefongespräch über einen juristischen Fall geführt. Darin seien Klarnamen der Verfahrensbeteiligten, das zuständige Gericht sowie Details des Falles sehr laut besprochen worden.
• Ein Professor habe Klausuren/Abschlussarbeiten von Studenten bearbeitet. Matrikelnummern und Namen der Studenten seien sichtbar gewesen.

IT-Sicherheit: Schulungen heutzutage unerlässlich

„Schulungen sind für die IT-Sicherheit von Organisationen heutzutage unerlässlich“, betont Anne Mickler, „Corporate Communications Manager für die Region DACH“ bei kaspersky. „Es geht darum, die eigenen Mitarbeiter für alle Gefahren zu sensibilisieren. Vor allem das immer mobilere Büro birgt in puncto Datenschutz neue Fallstricke. Dazu gehört definitiv das Risiko, von Dritten in der Öffentlichkeit gehackt zu werden.“
Unternehmen sollten daher auf diese bislang zu wenig beachtete Gefahrenlage und auf Schutzmöglichkeiten bzw. richtiges Verhalten hinweisen. Denn sensible Informationen müssten im Öffentlichen Raum – ob im Zug, am Flughafen oder im Café – ebenso geschützt werden wie im Büro. Mickler: „Unser Experiment zeigt einige Schwachstellen auf, die es zu schließen gilt.“

Unternehmen können „Visual Hacking“ vermeiden:

• Blickschutzfilter oder Blickschutzbildschirme sollten bei in der Öffentlichkeit genutzten Laptops Standard sein.
• Mitarbeiter sollten nur Dinge bearbeiten, die unverfänglich sind; zum Beispiel eine nicht vertrauliche „Power Point“-Präsentation. Sensible Aktionen – wie eine E-Mail über ein zum Beispiel noch nicht veröffentlichtes Produkt – gehörten in eine sichere Umgebung – und nicht in den Zug.
• Die Mitarbeiter dafür sensibilisieren, „dass bei Telefonaten das komplette Zugabteil unweigerlich mithört“. Die Nennung von Klarnamen (des Unternehmens, von Kunden oder sonstigen Partnern) vermeiden.
• Geräte nie aus den Augen lassen – „ist dennoch der Gang auf die Toilette nötig, sollten die Geräte entsprechend gesperrt sein (PIN, Zugangsberechtigung oder Passwort) sowie mit einer passenden mobilen Sicherheitslösung ausgestattet sein“. Token, ID-Karten oder Ähnliches sollten abgezogen und mitgenommen werden.
• Das Verhalten der Mitarbeiter in puncto IT-Sicherheit und Datenschutz auf Geschäftsreisen in den Sicherheitsrichtlinien des Unternehmens festlegen und Empfehlungen aussprechen.
• Mitarbeiter regelmäßig hinsichtlich Cyber-Gefahren und Datenschutz schulen – „insbesondere was auf Geschäftsreisenden zu beachten ist“. kaspersky bietet nach eigenen Angaben „für alle Unternehmensgrößen und Mitarbeiterprofile passende Trainings“.
• „Logos haben auf Geschäftslaptops nichts zu suchen.“ Auch auf den Inventar-Aufklebern sollten nur Nummern oder Barcodes angebracht werden.

Weitere Informationen zum Thema:

kaspersky daily, 09.07.2019
Visual und Audible Hacking – eine unterschätzte Gefahr

kaspersky
Geschäftsgeheimnisse im Zug / Ein Kaspersky-Experiment – wie offen gehen wir mit sensiblen BusinessInformationen in der Öffentlichkeit um?

datensicherheit.de, 05.07.2019
DDoS-Angriff auf die ÖBB – Kritische Infrastrukturen zunehmend gefährdet

datensicherheit.de, 12.04.2019
GeschGehG: Digitaler Safe für Geschäftsgeheimnisse gefordert