Studie von Trend Micro über Sicherheit bei mobilen Betriebssystemen

BlackBerry am sichersten

[datensicherheit.de, 20.08.2012] Während der kanadische Blackberry-Hersteller RIM in jüngster Vergangenheit meist mit schlechten Nachrichten aufwarten muss, gibt es zumindest bei der Sicherheit der Smartphones Positives zu berichten: „BlackBerry 7.0“ ist das mit Abstand sicherste Betriebssystem (2,89 Punkte), gefolgt von „Apple iOS5“ (1,7) und „Windows Phone 7.5“(1,61). Erst auf dem vierten und letzten Platz folgt „Android 2.3“ (1,29) –der Marktführer ist auch bei Cyberkriminellen klare Nummer Eins. Das zeigt eine Studie der Analystenhäuser Altimeter Group, Enterprise Mobility Foundation und Bloor Research in Zusammenarbeit mit Trend Micro, die angesichts der immer zahlreicher werdenden Sicherheitsvorfälle die Sicherheit der vier führenden Plattformen unter die Lupe genommen hat. Untersucht wurden unter anderem integrierte Sicherheitsfunktionen, mobiles Gerätemanagement, Authentifizierung, Firewall und Virtualisierung.
Am sichersten ist der Untersuchung zufolge die BlackBerry-Plattform mit ihren auf Unternehmensanforderungen ausgelegten Sicherheits- und Verwaltungsfunktionen. Dies ist bei den unterschiedlichen Richtlinien für unterschiedliche Benutzerrollen von Vorteil, wenn beispielsweise leitenden Angestellten andere Rechte zugewiesen werden als externen Mitarbeitern. Allerdings gibt es eine Einschränkung im Hinblick auf Funktionen und Schutzvorkehrungen: Solche Vorkehrungen, die im Normalfall aktiviert sind oder sich über den „BlackBerry Enterprise Server (BES)“ aktivieren lassen, greifen nicht, wenn die Benutzer mithilfe von „BlackBerry Internet Services (BIS)“ selbst Änderungen vornehmen. Wenn das Gerät nicht über BES bereitgestellt wird, werden einige der stärksten Schutzvorkehrungen ausgehebelt, beispielsweise das Entfernen des Passwortschutzes.
Mit deutlichem Abstand folgt Apple iOS. Hier ist die Bedrohungslage geringer, weil es sich um ein geschlossenes „Ökosystem“ handelt, bei dem Apple die Kontrolle über Hardware, Software und Apple-Store hat und die Anwendungen filtert, bevor diese für die Allgemeinheit verfügbar sind. Die Plattform bietet von Haus aus viel Schutz, weil die Anwendungen in einer so genannten „Sandbox“ in ihren eigenen Speicherumgebungen ausgeführt werden; das macht es schadhaften Anwendungen sehr schwer, nach Informationen zu spionieren und andere Anwendungen zu beeinflussen. Während bei BlackBerry die IT-Verantwortlichen vollständige Kontrolle über das Endgerät haben, können sie bei iOS-Geräten nur Einstellungen vornehmen, wenn die Benutzer auch die Erlaubnis dazu erteilt haben.

Unterschiedliche Ansätze

Microsoft hat aus den Fehlern der Vergangenheit gelernt und mit Windows Phone ein relativ robustes und sicheres Betriebssystem für Smartphones entwickelt, so das Ergebnis der Studie. Zwar ist die aktuelle Version noch nicht lange genug auf dem Markt, um sich im Unternehmensumfeld durchgesetzt zu haben, aber es lassen sich doch einige gesichert Erkenntnisse aufzeigen: Ähnlich wie bei Android erstellt das Betriebssystem mithilfe von Privilegien und Isolationstechniken Sandbox-Prozesse. Diese bei Windows „Kammern“ genannten Prozesse basieren auf einem Richtliniensystem, das im Gegenzug festlegt, auf welche Systemfunktionen die Prozesse innerhalb einer solchen Kammer zugreifen können.
Bei Android werden die meisten Geräte noch mit Version 2.x und nicht der aktuellen Version 4 ausgeliefert. Es gibt daher keine zentrale Möglichkeit, Betriebssystem-Updates bereitzustellen – so dass viele Benutzer für eine unnötig lange Zeit ohne entsprechenden Schutz auskommen müssen. Demgegenüber stehen Vorteile wie die Tatsache, dass Anwendungen auf das Netzwerk nicht ohne vorherige Zustimmung durch die Benutzer zugreifen können. Doch weil die Benutzer die entsprechende Berechtigung erteilen, ohne die Einzelheiten genau zu studieren, bleibt oft unklar, was die einzelnen Apps genau tun.
Nigel Stanley, Practice Leader Security bei Bloor Research, ist einer der Autoren der Studie. Er sagt: „Viele Sicherheits-Experten, mit denen ich zu tun habe, äußern noch immer große Bedenken, wenn es um den Einsatz privater mobiler Endgeräte im Unternehmen geht, der ja auch noch immer zunimmt. Neben den technischen Herausforderungen stehen Unternehmen vor einem weiteren Problem: Sie müssen erkennen, dass eine durchdachte Sicherheitspolitik sowie Benutzerschulungen unerlässlich sind.”
Raimund Genes, Chief Technical Officer bei Trend Micro und ebenfalls einer der Autoren, ergänzt: „Gerade angesichts des weiter anhaltenden BYOD-Trends muss man festhalten: Jedes mobile Endgerät stellt aus Unternehmenssicht ein potentielles Sicherheitsrisiko dar. Die Studie hat in diesem Zusammenhang einige interessante Ergebnisse zutage gefördert. So haben sich einige mobile Plattformen bei ihrer Weiterentwicklung deutlich sichtbar an Unternehmensanforderungen orientiert, während andere noch immer deutliche Spuren eines endkundenorientierten Ansatzes aufweisen. Die mobilen Plattformen sind also noch nicht in jeder Hinsicht reif für den Unternehmenseinsatz.“