Diebstahl und Verlust mobiler Geräte

Eine vergleichsweise neue Klasse von Bedrohungen ist der Diebstahl oder Verlust mobiler Geräte. Standen bei diesem Vergehen bislang immer die materiellen Werte der erbeuteten Geräte im Vordergrund, werden nun zunehmend gezielte Angriffe auf das Know-how von Unternehmen auf diese Art durchgeführt. Auch bei „normalem“ Diebstahl wird inzwischen durchaus versucht, erbeutete Daten zu Geld zu machen.

Gegen diese Bedrohung gibt es präventive Maßnahmen, die einen Zugriff auf die Daten erschweren. Die Referenz im mobilen Bereich setzen hier die Blackberry-Geräte. Bei diesen Geräten ist die Datenpartition mit dem Codewort des Benutzers verschlüsselt. Um eine Dateiübertragung im Hintergrund zu ermöglichen, werden die vom Server verschlüsselten Daten temporär auf einer separaten Partition hinterlegt, und erst bei der nächsten „Entsperrung“ des Gerätes durch den Benutzer auf die eigentliche Datenpartition überführt.

Eine Windows Standardinstallation bietet keine Verschlüsselung, diese kann aber auf vielerlei Art nachgerüstet werden, beispielsweise durch Datei- und Containerbasierte Verschlüsselung (Software-basiert) oder eine Vollverschlüsselung der gesamten Festplatte („FDE“, Soft- oder Hardwarebasiert). Entsprechend hochwertige Passwörter vorausgesetzt, bieten diese Lösungen guten Schutz. Eine Datei- beziehungsweise Containerbasierte Verschlüsselung (wie z.B. mit Hilfe von TrueCrypt realisierbar) hat dabei den Nachteil, dass Windows hier unter Umständen temporäre Daten in unverschlüsselter Form auf der Festplatte speichert. Zusätzlich beeinträchtigt eine Software-basierte Verschlüsselungslösung oft die Systemleistung. Da über moderne Festplatten mit „FDE“-Funktionen inzwischen eine gute Hardwareverschlüsselung verfügbar ist, kann das Problem unter Windows auf diesem Weg recht einfach gelöst werden.

Im Gegensatz zu Windows ist die Festplattenverschlüsselung von iPhone und iPad nicht an das Benutzerpasswort gebunden und somit als Schutz für die genannte Bedrohung faktisch unbrauchbar. Wie bereits beschrieben, existieren für die meisten iOS-Geräte Jailbreaks, mit denen der Passwortschutz umgangen werden kann. Zusätzlich zur Vollverschlüsselung auf Hardwareebene bietet aber das iOS auch die Möglichkeit einer zusätzlichen, Datei-basierten Verschlüsselung. Diese muss von jeder App einzeln je Datei „eingeschaltet“ werden. Sperrt der Benutzer das Gerät, geht für die Applikation der Zugriff auf diese Dateien verloren. Ein Zugriff ist erst wieder nach Eingabe des Entsperrcodes durch den Benutzer möglich. Welche Apps diese Möglichkeit nutzen ist für den Benutzer nicht transparent, mit der kommenden iOS-Version 5 werden aber zumindest die von Apple mitgelieferten Apps (E-Mail, Einstellungen, etc.) diese Schutzfunktion grundsätzlich einsetzen. Diese Dateiverschlüsselung ist natürlich nur wirksam, wenn auch entsprechend hochwertige Passwörter benutzt werden – ein vierstelliger PIN-Code für ein iPhone oder ein iPad stellt kein echtes Hindernis für einen Angreifer dar. Obwohl viele Benutzer die Geräte ohne Code (Auslieferungszustand) betreiben, oder nur mit einer 4-stelligen PIN (analog zur SIM-Karten PIN) schützen, kann in den Konfigurationseinstellungen ein alphanumerisches Passwort eingestellt werden. Gegen das physische Kopieren der verschlüsselten Daten schützt die Dateiverschlüsselung natürlich nicht – ein komplexes 10-stelliges Passwort hält aber in diesem Fall einen engagierten Angreifer für ein paar Wochen oder Monate vom Zugriff auf die geschützten Daten ab.

Die Situation bei den Android-Geräten ist prekärer. Der PIN-Schutz zum Zugriff auf die Flashdisk lässt sich bei den meisten Modellen ähnlich leicht umgehen wie beim iPhone. Ein sinnvoller Schutz durch Verschlüsselung vertraulicher Daten muss von jeder Applikation selbst realisiert werden. Es gibt allerdings auch einige proprietäre Erweiterungen, die sich die Offenheit der Android-Plattform zunutze machen und solche Funktionen nachrüsten.

Neben dem präventiven Diebstahlschutz bieten iOS-Geräte aber auch eingebaute reaktive Sicherheitsmaßnahmen. Das Telefon kann aus der Ferne in Sekunden gelöscht werden und ein verlorenes oder gestohlenes Gerät kann geortet werden. Android bietet solche Optionen zwar nicht eingebaut im Betriebssystem an, es existiert jedoch Third Party Software, die die entsprechenden Funktionen nachrüstet. Für Windows-Rechner müsste ein sinnvoller Schutz im BIOS verankert sein. Auch dafür gibt es Möglichkeiten, eine umfassende Verbindung mit WLAN, GPS und 3G-Modulen ist auf BIOS-Ebene derzeit aber noch selten realisiert, auch wenn moderne UEFI-Firmware grundsätzlich die Möglichkeiten dazu bieten würde. Natürlich dürfen die reaktiven Optionen nicht überschätzt werden: Im Rahmen eines gezielten Angriffs ist es ein Leichtes, diese Schutzmaßnahmen außer Kraft zu setzen.