7 Uhr morgens, gleich fährt der Fernzug aus Hamburg ab. Du setzt dich auf deinen Platz, stellst deinen Kaffee-to-go auf den Tisch vor dir und holst den Laptop aus der Tasche. Schließlich lässt sich die lange Reisezeit wunderbar mit ohnehin noch anstehender Arbeit überbrücken. Dank öffentlichem W-LAN kommst Du auch unterwegs bequem online und loggst Dich sodann in deinen Firmenaccount ein. Deinen leeren Handyakku päppelst du an einem nahegelegenen USB-Port auf.
“Gelobt sei das 21 Jahrhundert”, denkst du dir im Stillen – während dir unbemerkt wichtige Bankdaten deines Unternehmens gestohlen werden oder sich eine Schadsoftware still und heimlich auf Deinem Gerät ausbreitet. Denn schon in dieser kurzen Zeit hast du dich ganzen 3 IT-Sicherheitsrisiken ausgesetzt. Wie kann das sein?
Die Auflösung dazu verrät uns Christian Schmidt. Nach seiner Reise ins ferne China, wo Cybersicherheit nochmal ein ganz besonderes Thema ist, hat er uns einige Tipps und Tricks in unser Know How Camp der Silpion Academy mitgebracht. Die möchten wir euch natürlich nicht vorenthalten.
IT-Risiken, die uns im Alltag umgeben
Ein Datendiebstahl im Zug. Aber wie konnte das passieren? Drei Szenarien sind denkbar:
1. Public Charging Points
Das Aufladen des Smartphones an einem öffentlichen USB-Port kann mit einer bösen Überraschung enden. Du weißt nie, was hinter dem Port angeschlossen ist. Bekannterweise kann der USB-Anschluss des Smartphones zum Aufladen, aber auch zum Datentransfer genutzt werden. Und genau hier liegt der Knackpunkt. Hacker können vermeintliche Ladestationen so präparieren, dass beim Anschluss Malware an das Smartphone geschickt wird. Dieser Cyberangriff ist auch als Juice Jacking bekannt. Willst Du dich davor schützen, nimmst Du lieber deine eigene Powerbank mit, oder stattest dich mit einem aktiven USB-Condom aus.
2. Das öffentliche W-LAN
So praktisch das öffentliche W-LAN erscheint, so riskant ist es leider auch. Verbindest Du deinen PC oder Smartphone damit, setzt Du dein Gerät gleich mehreren Gefahren aus. Anbieter öffentlicher W-LANs haben nun nämlich zwei Möglichkeiten:
- Sie können einsehen, wohin dein Gerät seine Kommunikation aufbaut. Egal ob es um einen Anruf, eine Chatnachricht, eine Mail oder einfach nur einen Webseitenaufruf geht. Umgekehrt können sie sehen, wer mit deinem Gerät kommuniziert. Informationen wie diese lassen im Ernstfall Rückschlüsse auf die interne IT zu. Cyberkriminelle können so Metainformationen erschnüffeln und damit den Grundstein für weitere Angriffe setzen.
- Sie können dir unbewusst Dinge unterjubeln. Jede Information, die man online im Browser aufruft, lässt sich sehr leicht ändern. So ist es etwa möglich, dir eine Werbung anzeigen zu lassen, die ursprünglich vielleicht eine ganz andere war. Das wiederum könnte ein Setup für eine weitere Falle sein.
Knifflig daran ist, dass von außen kaum erkennbar ist, ob ein W-LAN vertrauenswürdig ist oder nicht. Namen wie “McDonalds Guest” oder “DB WiFi” geben keinerlei Garantie, schließlich kann jeder ein Netz mit einem solchen Namen eröffnen. Auch die üblichen Anmeldemasken lassen sich faken und können dem Datendiebstahl dienen.
Um auf der sicheren Seite zu sein, sollte man sich also mit genügend Datenvolumen ausstatten und auf das normale Mobilnetz setzen. Dieses ist durch den Netzbetreiber in der Regel hinreichend abgesichert. Schwieriger gestaltet sich das Ganze bei einer Reise in einen Unrechtsstaat.
3. Shoulder Surfing
Klingt stumpf, ist stumpf, aber leider auch effektiv: Das Spähen “über die Schulter”. Im öffentlichen Raum hat man selten keine Menschen um sich, und so kann immer jemand dabei sein, der dich bewusst bei der Dateneingabe beobachtet oder sogar ein Foto dabei macht. Darauf solltest Du daher nicht nur beim Bargeldabheben am Automaten achten, sondern auch bei der PIN-Eingabe an der Kasse, und nicht zuletzt bei der Verwendung deines Smartphones bzw. Laptops. Für letzteren Anwendungsfall empfiehlt sich überdies die Verwendung von Privacy Screens.
Mit diesen 3 Gadgets bist Du passend ausgerüstet
1. USB-Condom
Hinter dem witzigen Namen versteckt sich ein Adapter (seriöserweise auch mal “Daten Blocker” genannt), der ein sicheres Verbindungsstück zwischen USB-Kabel und USB-Port bildet. Die Funktionsweise einfacher Varianten ist schnell erklärt: Die Datenübertragung wird durch einige Pins am USB-Stecker ermöglicht. Das USB-Condom blockiert diese Pins, sodass lediglich die Ladefunktion erhalten bleibt. Eine schadhafte Datenübertragung ist dann nicht mehr möglich.
Bei der einfachen Variante entfällt allerdings eine etwaige Schnellladefunktion. Für diese ist die Kommunikation zwischen Handy und Netzteil nötig. Clevere USB-Condome simulieren daher der Ladestation einen intelligenten Verbraucher und umgekehrt. Der direkte Datenfluss wird verhindert, während die nötige Signalisierung für die Schnellladefunktion bleibt.
Optisch ist der clevere Aufsatz kaum von einem USB-Stick zu unterscheiden.
Tipp: Wer spontan nicht an ein USB-Kondom rankommt, kann auch à la MacGyver die Datenleitungen am USB-Kabel durchschneiden (grün und weiß). Auch dann kommt wieder nur der Strom hindurch.
2. Privacy Screens
Moderne Bildschirme haben eine ausgezeichnete Farbbrillanz und sehen aus allen Winkeln gut aus. Genau das wird in öffentlichen Bereichen jedoch zum Problem. Um unsere Daten zu schützen und natürlich auch im Sinne der allgemeinen Privatsphäre, möchten wir diese Einsichtbarkeit möglichst vermeiden.
Abhilfe schaffen sogenannte Privacy Screens. Die bieten im Grunde genau den seitlichen Sichtschutz, den man bei alten LCD-Bildschirmen immer (freiwillig oder unfreiwillig) mit dabei hatte. Allerdings noch deutlich verstärkt, denn schon ab kleineren Winkeln verdunkelt sich das Bild.
Ein Privacy Screen in passender Größe.
So ein Privacy Screen ist im Einsatz unkompliziert. Ähnlich einer Schutzfolie klebt oder klickt man ihn auf oder an das entsprechende Laptop- oder Smartphonedisplay, wobei man natürlich auf die passende Größe achten sollte. Vor dem klassischen Blick über die Schulter ist man dann zwar immer noch nicht 100%ig geschützt, aber zumindest die weniger offensichtlichen Blicke haben keine Chance mehr.
3. Portsperre
Schon eine kurze USB- oder besser Thunderbolt-Verbindung reicht oft aus, um große Mengen an Daten von einem Gerät zu stehlen oder schadhafte Daten in dessen Speicher zu schreiben.
Die Portsperre ist ein kleines aber feines Plastikgadget, das vor unbefugtem USB-Anschluss schützt. Sie ist in verschiedenen USB-Größen verfügbar und wird einfach in den USB-Port hineingesteckt.
Die Portsperre besitzt eine spezielle Verriegelungsmechanik, die ein gewaltsames Entfernen schwer macht. Dann nämlich bricht ein Teil des Mechanismus ab, blockiert den Port und verhindert weiterhin ein Einstecken. Lediglich mit dem passenden, mitgelieferten Schlüssel kann die Portsperre problemlos geöffnet werden.
“Gerade für Kunden im IT-Sektor ist eine Portsperre ein Zeichen von Datenhygiene. Du suggerierst weniger das Fehlen von Vertrauen, sondern zeigst deine Aufmerksamkeit gegenüber Datenrisiken.” – Christian Schmidt
Reisen in einen Unrechtsstaat – worauf Du nun achten musst
Geschäfts- und Privatreisen innerhalb europäischer Länder sind eine Sache. In diesen Fällen fährst Du mit den bereits genannten Gadgets und Sicherheitsmaßnahmen ziemlich gut.
Prekärer wird das Thema (IT-)Sicherheit bei einer Reise in einen Unrechtsstaat wie z. B. China oder Iran. Staaten, die eine unverhältnismäßige Macht gegenüber ihren Bürgern und Besuchern besitzen. Bevor Du in ein solches Land aufbrichst, solltest Du dir über folgende Aspekte Gedanken machen:
Auf Ernstfälle vorbereiten
Noch bevor Du deine Reise antrittst, solltest Du einige Fragen geklärt haben. Sonst kommst Du im schlimmsten Fall in Situationen, in denen Du vor Ort nicht schnell genug reagieren kannst.
- Informiere dich vorab, wo sich die nächstgelegene Botschaft deines Landes am Zielort befindet. Lerne, wie Du in der Landessprache nach der Botschaft fragen kannst (oder schreib es dir einfach auf einen Zettel ;))
- Sei finanziell abgesichert. Bei Geschäftsreisen lässt Du dir am besten vorher die Freigabe geben, im Fall der Fälle eine spontane (und entsprechend teure) Rückreise antreten zu können.
- Plane vorab möglichst genau, wann Du dich wo aufhältst sowie wo und wann Du dich zurückmelden wirst.
Burner phone statt privatem Handy
In einem Staat wie China kann man leider selbst dem Mobilfunknetz bzw. dem dahinterstehenden Netzbetreiber nicht trauen. Die Wahrscheinlichkeit, dass dein Handy überwacht oder ausspioniert wird, ist hoch. Die Wahrscheinlichkeit, dass permanente Veränderungen ohne dein Wissen vorgenommen werden, ist zumindest gegeben.
Geschickter ist es, ein sogenanntes Burner phone (“Wegwerfhandy”) zu verwenden. Das kann ein altes, ausrangiertes Handy sein, oder aber ein speziell für solche Reisen angedachtes Zweithandy des Unternehmens, das im Heimatland nicht zum Einsatz kommt. Hauptsache, darauf sind keine wichtigen persönlichen oder unternehmensbezogenen Daten vorhanden.
War jemand an meinen Sachen?
Mitgebrachtes permanent im Auge zu haben ist nur bei leichtem Gepäck möglich. Verreist man mit einem Koffer, endet diese Chance bereits am Flughafen. Und auch der mitgebrachte Laptop liegt womöglich mal einen oder mehrere Tage im Hotelzimmer, bei denen mindestens das Personal Zugriff hat.
Wir unterscheiden hier „tamper proof“ und „tamper evident“. Ein Safe ist tamper proof, herumfummelungssicher. Man kann ihn aber nur schwer im kleinen Gepäck unterbringen.
Eine gute Möglichkeit, um unerwünschte Zugriffe festzustellen, sind daher Siegelaufkleber. Sie sind tamper evident, machen also ein Herumfummeln sichtbar. Sie lassen sich nicht zerstörungsfrei entfernen, womit unbemerkte Zugriffe sichtbar werden. Ein guter Siegelaufkleber hat zudem eine eineindeutige Seriennummer. Damit wird verhindert, dass ein zerstörter Siegelaufkleber einfach mit einem neuen Aufkleber getarnt werden kann.
Ablöseversuche werden optisch erkenntlich gemacht.
Vielleicht hast Du ja auch etwas Glitzerlack dabei? Damit kannst Du Manipulationen an den Schrauben deines Koffers oder deiner Geräte sichtbar machen. Versuche mit einem Schraubenzieher werden dank des einzigartigen Glitzerbildes im Lack sofort sichtbar.
Fazit
Dieser Blog will und kann nicht alle Themen der IT-Sicherheit abgreifen, gibt aber einen guten Überblick für den Alltag und Reisen. Wäge am besten immer situativ ab, wie viel Vorsicht gerade angebracht und nötig ist. So kann eine Portsperre beim Kundenbesuch durchaus einen guten Eindruck bei der dortigen IT machen, ein Siegelaufkleber sähe komisch aus. Im Hotel im Ausland ist es genau anders herum.
Wenn Du an diesem und weiteren IT-Themen interessiert bist, schau doch einmal in den Know How Camps bei Silpion vorbei. Auch unserer lieber Christian ist für einen Security und Tech Talk offen.