BSI - Basisschutz für Smartphone und Co.

22.06.2016
Mittlerweile entsprechen die mobilen, internetfähigen Geräte kleinen Computern, auf denen gearbeitet, kommuniziert und vertrauliche Daten gespeichert werden.
Logo: Bundesamt für Sicherheit in der Informationstechnik (BSI)

Dadurch gelten für sie mindestens die gleichen Sicherheitsanforderungen wie für stationäre Computer. Die Sicherheit spielt im Grunde sogar eine noch größere Rolle, denn die Möglichkeit, die Geräte immer und überall dabei zu haben und sie ständig mit dem Internet zu verbinden, birgt zusätzliches Gefahrenpotenzial.

Alle Benutzer von Smartphones und Tablets sollten daher folgende, kurze Sicherheitshinweise beachten.
Die dienstliche Nutzung von privaten Geräten ist nicht nur praktisch, sondern stellt zusätzliche Anforderungen an die sichere Verwendung der Geräte. Aus diesem Grund finden Sie am Ende dieser Seite unter anderem Links zu Überblickspapieren, die sich dieses Themas annehmen.

Die wichtigsten Sicherheitshinweise für mobile internetfähige Geräte:

Man sollte eine gesunde Skepsis haben, welcher Empfehlung beispielsweise für eine App man folgt, was man von wo installiert, beziehungsweise worauf man alles klickt. Nicht alles, was man installiert oder auf das man klickt, hält letztlich, was es verspricht. Prüfen Sie auch kritisch, ob die Zugriffsrechte einer App wirklich erforderlich zur Erfüllung der Funktionalität sind, oder ob Sie unter solchen Bedingungen lieber auf diese App verzichten möchten.

  • Gesunder Menschenverstand
    Man sollte eine gesunde Skepsis haben, welcher Empfehlung beispielsweise für eine App man folgt, was man von wo installiert, beziehungsweise worauf man alles klickt. Nicht alles, was man installiert oder auf das man klickt, hält letztlich, was es verspricht. Prüfen Sie auch kritisch, ob die Zugriffsrechte einer App wirklich erforderlich zur Erfüllung der Funktionalität sind, oder ob Sie unter solchen Bedingungen lieber auf diese App verzichten möchten.
  • Installieren Sie Apps nur aus vertrauenswürdigen Quellen.
    Als erste Hürde sollte in den Einstellungen das Laden von Apps aus "unbekannter Herkunft" ausgeschaltet sein und nur in begründeten Fällen temporär eingeschaltet werden. Während die '"offiziellen App-Stores" relativ gut überwacht und damit relativ sicher sind, birgt das Laden von Apps aus unbekannten Quelle ein ungleich höheres Risiko für eine Infektion. Falls Ihnen der Anbieter der App nicht bekannt ist, informieren Sie sich vor der Installation. Wenn Sie an der Integrität der App zweifeln, können Sie diese auch online mit mehreren Virenscannern z.B. mit dem Dienst "VirusTotal" kostenlos überprüfen lassen.
  • Deaktivieren Sie drahtlose Schnittstellen
    (zum Beispiel WLAN und Bluetooth), wenn Sie diese nicht nutzen. Koppeln Sie externe Geräte mit Ihrem Mobilfunkgerät (etwa über Bluetooth) nur in gesicherter Umgebung.
  • Führen Sie regelmäßig Sicherheitsupdates durch.
    Achten Sie darauf, ob es Sicherheitsupdates für die Firmware Ihres Gerätes oder das auf dem Gerät ausgeführte Betriebssystem und sonstige von Ihnen installierte Software und Apps gibt und führen Sie diese durch. Vermeiden Sie die Installation von Software aus nicht vertrauenswürdiger Quelle. Über erhältliche Updates können Sie sich auch auf den Internetpräsenzen der Gerätehersteller infomieren. Dort gibt es häufig detaillierte Anleitungen zur Umsetzung.
  • Nutzen Sie öffentliche Hotspots mit erhöhter Vorsicht
    und – soweit möglich – über eine gesicherte Verbindung (https). Vermeiden Sie es, kritische Anwendungen wie Online-Banking in offenen Netzwerken durchzuführen. Einige Geräte bieten auch die Möglichkeit, sie als mobilen, eigenen Hotspot einzurichten, sodass andere Anwender die Internetverbindung des eigenen Gerätes mitbenutzen können. Wenn Sie diese Funktion nutzen wollen, sollten Sie sehr vorsichtig sein. Machen Sie Ihren Hotspot niemals ohne Passwort frei zugänglich. Nutzen Sie das WLAN-Sicherheitsprotokoll WPA2, und richten Sie für den Hotspot ein sicheres Passwort ein. Teilen Sie dieses Passwort nur vertrauenswürdigen Personen mit und beenden Sie die Hotspot-Funktion, wenn Sie sie nicht mehr benötigen.
  • Sorgfältiger Umgang mit Zugangsdaten
    Nutzen Sie die Tastatursperre sowie den Gerätesperrcode und aktivieren Sie stets die SIM/USIM-PIN. Zusätzlich können Sie bei vielen Smartphones eine Display-Sperre aktivieren. Diese kann über die Eingabe eines Pincodes, eines Musters oder eines Fingerabdrucks aufgehoben werden. Halten Sie Ihre Zugangsdaten unter Verschluss. Dies gilt insbesondere auch für Zugangscodes für Dienste wie Online-Banking. Geben Sie PIN und Codes nur unter Sichtschutz gegenüber Dritten ein und wechseln Sie die Passwörter.
  • Lassen Sie bei Verlust Ihres mobilen Gerätes die SIM-Karte unverzüglich sperren
    Zusätzlich bieten einige Hersteller die sogenannte Remote-Wipe-Funktion an, bei der das Gerät aus der Ferne zurückgesetzt und gesperrt werden kann. Dadurch sind Ihre persönlichen Daten auf dem Gerät gelöscht oder nicht aufzurufen (siehe Datensicherung).
  • Verkauf und Entsorgung
    Wenn Sie nicht möchten, dass Ihre gespeicherten Daten beim Verkauf oder bei der Entsorgung Ihres Gerätes in falsche Hände geraten, dann sollten Sie bedenken, dass Datenspuren verbleiben können, wenn nicht vorher alle Datenspeicher sicher gelöscht wurden. Wie das bei Smartphones funktioniert, ist für viele Modelle und Betriebssysteme auf dem IT-Nachrichten- und Service-Portal Chip Online, für iPhone, iPad oder iPod touch auf der Internetseite von Apple beschrieben. Die SIM-Karte sollten Sie entfernen und – falls Sie diese nicht weiter verwenden wollen – vernichten.

Gebäude des BSI in Bonn

  • Bewegungsprofile
  • Der Aufenthaltsort von Mobilfunkgeräten – und damit auch ihrer Besitzer – kann von den Betreibern der Funknetzwerke und zum Teil auch von den App-Anbietern jederzeit ermittelt werden. Durch die Zusammenstellung solcher Daten könnte ein detailliertes Bewegungsprofil erstellt werden. Prinzipiell sollten Sie mit der Weitergabe Ihrer Positionierungsdaten sehr zurückhaltend sein – also etwa Lokalisierungsdienste meiden und keine Ortsdaten in Fotos speichern, die Sie ins Internet laden. Schalten Sie die GPS- und die WLAN-Funktion aus – dadurch wird die Positionsbestimmung zumindest ungenauer.
  • Prüfen Sie unbekannte Rufnummern vor Rückruf
    Rufen Sie unbekannte Dienste-Rufnummern nicht zurück. Weitere und aktuelle Informationen zu missbräuchlich genutzten Rufnummern finden Sie auf der Webseite der Bundesnetzagentur. Lassen Sie bei Bedarf unerwünschte Rufnummern zu Mehrwertdiensten von Ihrem Netzbetreiber sperren.
  • Führen Sie Gespräche mit vertraulichem Inhalt nicht über das Mobiltelefon
    Das Telefonieren über GSM (Standard zur mobilen Sprach- und Datenübertragung) ist nicht abhörsicher. Wenn Sie vermehrt besonders schützenswerte, geheime Informationen austauschen wollen, weichen Sie auf andere Kommunikationsmittel aus.
  • Halten Sie mobile Geräte stets unter Aufsicht.
  • Backup
    Erstellen Sie regelmäßig Backups der Daten. Hier spielt neben der Aktualität der gesicherten Daten auch der Speicherort eine wichtige Rolle. Viele Backup-Programme nutzen Cloud-Speicher als automatisches Backupmedium. Es ist zu beachten, dass diese Cloudspeicher nicht unter der Kontrolle des Benutzers liegen. Wer - außer dem Benutzer - sonst noch auf die Daten zugreifen kann, ist nicht klar. Backups in der Cloud sollten grundsätzlich verschlüsselt werden. Außerdem gibt es oft keine Garantie für die Verfügbarkeit der Daten in der Cloud. 
    Als weiterer Punkt bei Backups in der Cloud ist der Spezialfall eines Verschlüsselungstrojaners zu beachten. Diese Trojaner verschlüsseln die Daten des Benutzers und machen das Gerät damit unbrauchbar. Anschließend fordern sie den Benutzer zur Zahlung eines Lösegeldes auf, um die Daten wieder zu entschlüsseln. Da die Backupprogramme automatisch geänderte Daten in den Cloudspeicher sichern, werden auch die verschlüsselten Daten gesichert und damit die originalen Daten des Backups überschrieben! In diesem Fall nutzt ein Backup gar nichts mehr.
    Der sicherste Speicherort für ein Backup ist ein externer Datenträger, beispielweise auf einem externen Computer oder eine SD-Karte, die nach einem manuellen Backupprozess aus dem Gerät entfernt wird.

Quelle:  Bundesamt für Sicherheit in der Informationstechnik (BSI)


© copyright @ Bachert Datentechnik GmbH 2018