Kommentar: Wenn Mobile Device Management zur Malware Distribution Machine wird

Was kommt nach zentral verwalteten Mobiltelefonen? Zentral verwaltete Malware! In Zeiten immer weiter wachsender Fähigkeiten von Smartphones werden diese selbstverständlich auch immer mehr dort eingesetzt, wo sensibelste Daten leben. Es ist daher völlig verständlich und sinnvoll, diese allgegenwärtigen Taschenrechner vernünftig zu verwalten und abzusichern, alles andere wäre unverantwortlich. Nur: Wie Active-Directory-Systeme funktioniert Mobile Device Management (MDM) eigentlich so ähnlich wie Bots mit einem Command-and-Control-Server. Nur dass hier dem zentralen Server eben vertraut wird und dieser auch hoffentlich dieses Vertrauens würdig ist.

Janis König

Eigentlich wollte Janis König Software-Archäologin werden. Bei intcube verwirklicht sie nun ihre Begeisterung für Kryptographie, gute Prozesse und Softwarearchitektur. Für iX schreibt sie über ihre Vorstellungen für eine bessere Informationssicherheit.​

MDM als Einfallstor

Gerade scheint die Ivanti-MDM-Lösung Avalanche Hauptfokus in der Sicherheitsforschung zu sein, nach dem Wachrütteln im letzten Jahr, als diverse Regierungsorganisationen darüber angegriffen wurden. Und es wird sicherlich nicht das letzte dieser Produkte sein, das betroffen ist. Auch Angreifer haben nämlich erkannt, dass privat administrierte Geräte zwar oft verwundbar sind, sich jedoch meistens weniger als Ziel lohnen: Man kann kaum gezielt hochsensible Daten abgreifen, häufig ist dafür sogar physischer Zugriff notwendig.

MDM-Server sind zwar (idealerweise) etwas besser abgesichert. Gleichzeitig sind sie aber auch ein viel lohnenswerteres Ziel: Habe ich den Server gekapert, habe ich weitgehende Berechtigungen auf die von den Mitarbeitenden einsehbaren Daten. Am Ende möglicherweise einen höheren Return on Investment (ROI) aus Angreifersicht. Mit der immer noch zunehmenden Professionalisierung in der Cyberkriminalität sind das knallharte Business-Fakten.

Wie viel Zentralisierung brauchen wir?

Wir müssen uns daher Gedanken machen, wann die Kosten solcher Zentralisierungsvorhaben den Nutzen übersteigen. Es muss klar sein, dass ein eingesetztes MDM-Produkt nicht nur "ein bisschen sicherer" als ein einzeln administriertes System sein muss. Vielmehr muss es gegen ein Risikopotenzial der Kompromittierung der gesamten Flotte an Mobilgeräten gewappnet sein.

Wenn wir noch einen Schritt weiter gehen wollen, könnten wir sogar überlegen, ob die Art Zentralisierung, die MDMs vorsehen, überhaupt notwendig ist. Oder ob zumindest klassische MDMs in ihrer Komplexität eine zu große Angriffsfläche bieten und ein reduziertes Angebot nicht viel nachhaltiger für Sicherheit sorgen könnte. In der Geschichte der IT hat es ja immer den Wechsel zwischen Zentralisierung und Dezentralisierung gegeben: Großrechner, PC. Cloud, Edge. AI as a Service, lokale Open-Source-Modelle. Aus Sicht der Security zumindest ist klar, dass Klumpenrisiken wohldurchdacht sein wollen.

(pst)