Forrester bescheinigt iPhone und iPad (mittlere) Business-Reife

Ursprünglich als Consumer-Device konzipiert, hat das Apple iPhone in Rekordzeit den Einzug in die Business-Welt geschafft. Nach Schätzungen von Forrester unterstützt inzwischen nahezu jedes dritte Unternehmen in Europa und Nordamerika das Kult-Handy - und dessen Tablet-Variante iPad. Das ist eine überraschend hohe Zahl, wenn man in Betracht zieht, dass Apple im Gegensatz zu RIM oder Microsoft praktisch keine Management- oder Sicherheitsinfrastruktur bereitstellt. Immerhin, so Forrester in einer aktuellen Studie, bieten iPhone (und iPad) inzwischen ausreichende Sicherheits-Features, um einen Einsatz im Unternehmen nicht mehr grundsätzlich verbieten zu müssen. Die Marktforscher empfehlen, das ab iOS 3.1 integrierte Basisangebot an Sicherheits-Features voll auszunutzen und strengere Anforderungen über zusätzliche Lösungen oder Policies abzudecken.

Insgesamt nennt Forrester sieben Grundeinstellungen, die zumindest Basisanforderungen an Sicherheit abdecken können und entsprechend aktiviert werden sollten:

• Verschlüsselung von ein- und ausgehendem E-Mail-Verkehr über Microsofts ActiveSync oder - falls nicht genutzt - IMAP mit SSL-Aktivierung und SMTP über TLS.

• Löschen von Inhalten auf verlorengegangenen oder gestohlenen Geräten via Remote Wipe.

• Schützen der Geräte mit einem Passcode - entweder einer PIN oder einem alphanumerischen Passwort.

• Automatisches Sperren der Geräte nach einer festgesetzen Zeit bei Nichtgebrauch.

• Automatisches Löschen der Inhalte von Geräten nach einer festgelegten Anzahl von Anmeldeversuchen.

• Signierte Konfigurationsprofile mit den Sicherheitseinstellungen der Anwender verwenden.

• Kontinuierliche automatische Erneuerung der Sicherheitseinstellung - aber nur via ActiveSync und Microsoft Exchange 2007 (für Lotus Notes Traveler in Planung)

Zusätzliche Vereinbarungen via User Policy

Forrester empfiehlt, über diese Grundfunktionen hinaus weitere Maßregeln mit den Mitarbeitern über eine User Policy zu vereinbaren. Diese sollte als wichtige Punkte unter anderem enthalten, dass

• ein Mitarbeiter die Installation von Sicherheitsprofilen akzeptieren muss, wenn er mit seinem privaten iPhone/iPad auf Unternehmensnetze und -daten zugreifen will;

• er die IT-Abteilung bei Verlust, Diebstahl des Geräts, oder wenn das iPhone/iPad schlichtweg nicht mehr als Arbeitsgerät eingesetzt wird, benachrichtigen muss;

• er dem Unternehmen das Recht einräumen muss, die Inhalte des Geräts bei Verlust, Diebstahl oder Weggang des Mitarbeiters remote zu löschen - selbst wenn es sich um deren persönliches Eigentum handelt.

• er Backups seines Gerät via iTunes erstellen muss.

Für Unternehmen, die höhere Sicherheitsanforderungen haben, sollte die IT-Abteilung laut Forrester komplexere Passcodes vorschreiben oder die Nutzung der in iOS integrierten Hardwareverschlüsselung fordern. Weiterhin denkbar sind die Zertifikat-basierende Authentifizierung für E-Mails, VPN- oder WLAN-Zugriff über das von Apple unterstützte Simple Certificate Enrollment Protocol und einen PKI- und SCEP-Server sowie die Verschlüsselung von Anwendungen, hierzu wurden in iOS 4 neue APIs bereitgestellt. Eine Version des neuen Betriebssystems für das iPad ist allerdings erst für Herbst geplant.

Auch Radikalmaßnahmen möglich

Als weitere Optionen schlägt Forrester vor, dass sich Unternehmen das Recht einräumen lassen sollten, im Ernstfall das (private) iPhone oder iPad eines Mitarbeiters beschlagnahmen zu dürfen. Den Marktforschern zufolge ist dies etwa im US-Verteidigungsministerium gängige Praxis - hierzulande sollten Unternehmen solche Ideen allerdings erst einmal mit ihrem Rechtsbeistand klären.

Bei Firmengeräten gibt es in iOS deutlich restriktivere Möglichkeiten, um für mehr Sicherheit zu sorgen, wie das Sperren des iTunes App Store und/oder das generelle Verbot, Anwendungen zu installieren, das Deaktivieren der Kamera- und Screenshot-Funktion sowie das Blockieren von Programmen wie YouTube oder Safari-Browser auf dem Device - laut Forrester-Bericht sollten diese Maßnahmen aber nur sehr spärlich eingesetzt werden, insbesondere, wenn es sich um Geräte handelt, die ein Mitarbeiter auch privat nutzen darf.

Nach wie vor Schwachstellen

Trotz dieser Features gibt es laut Forrester nach wie vor Schwachstellen in der Absicherung von iPhone und iPad. So erstellt Apples hauseigene iPhone Configuration Utility beispielsweise zwar die Konfigurationsprofile, ist jedoch nicht in der Lage, die verschiedenen Installationsschritte zu automatisieren. Diese Aufgabe übernehmen Systeme von Drittanbietern wie Sybase oder Trust Digital.

Dank neuer Schnittstellen in iOS 4 lassen sich nun auch ausgereifte Device-Management-Lösungen für das iPhone (und später das iPad) realisieren. Etliche Hersteller einschließlich Sybase und MobileIron beschäftigen sich intensiv mit den APIs, um darauf eventuell zentralisierte Plattformen für eine wirkungsvollere Verwaltung von iOS-4-Geräten zu erstellen. Weiterhin fehlen bislang noch Support für Smartcard-Authentifizierung, Zertifizierung für den Sicherheitsstandard FIPS 140-2, End-to-End-E-Mail-Verschlüsselung, die Option, SMS aufzuzeichnen und zu archivieren, sowie die Fähigkeit, berufliche und private Nutzerumgebungen, Daten und Anwendungen zu trennen. Auch ist es nicht möglich, Funktionen so granular zu aktivieren/deaktivieren wie etwa bei Blackberry OS oder Windows Mobile.