Vernetzte Multifunktionssysteme (MFPs) können genauso Cyberangriffen zum Opfer fallen wie andere Geräte auch. Deshalb gilt es unbedingt, sie anhand druckerspezifischer IT-Sicherheitsmaßnahmen zu schützen. Wie dies zu gewährleisten ist, erklärt Torsten Bechler, Manager Product Marketing bei Sharp Business Systems Deutschland.
FACTS: Warum sind gerade vernetzte MFPs zunehmend der Ausgangspunkt für IT-Sicherheitsvorfälle?
Torsten Bechler: Im Gegensatz zu Druckern und Scannern in der Vergangenheit sind MFPs innerhalb eines Netzwerks inzwischen wichtige Dreh- und Angelpunkte für dokumentbasierte Prozesse, die mit vielen verschiedenen anderen Endpunkten im System vernetzt sind. In dieser Hinsicht sind sie nicht von anderen Endpunkten wie Laptops oder Smartphones zu unterscheiden und können deshalb genau wie diese zum Einfalltor für Angreifer werden, wenn sie ungesichert sind.
FACTS: Die aktuelle Sharp-Studie zum Thema IT-Security zeigt, dass etwa 20 Prozent der deutschen KMU bereits von Sicherheitsverletzungen betroffen waren, die über MFPs erfolgt sind. Was sind die Hauptgründe für diese Vorfälle?
Bechler: Anders als Laptops oder Smartphones, bei denen sowohl Nutzer als auch IT-Verantwortliche inzwischen verstanden haben, wie wichtig Sicherheit und Datenschutz sind, werden MFPs dahingehend oftmals als potenzielles Sicherheitsrisiko schlicht übersehen oder ignoriert – „Ist ja nur der Drucker“. Im Rahmen dieser Studie haben wir ebenfalls herausgefunden, dass 36 Prozent der befragten Unternehmen überhaupt keine druckerspezifischen IT-Sicherheitsmaßnahmen getroffen haben. Genau diese Diskrepanz nutzen Angreifer aus.
„Anders als Laptops oder Smartphones, bei denen sowohl Nutzer als auch IT-Verantwortliche inzwischen verstanden haben, wie wichtig Sicherheit und Datenschutz sind, werden MFPs oftmals als potenzielles Sicherheitsrisiko schlicht übersehen oder ignoriert.“
Torsten Bechler, Manager Product Marketing bei Sharp Business Systems Deutschland
FACTS: Dieselbe Studie hebt hervor, dass hybride Arbeitsmodelle zusätzliche Sicherheitsbedenken hervorrufen. Welche spezifischen Risiken entstehen durch diese Arbeitsform, insbesondere mit Blick auf MFPs?
Bechler: Bei hybriden Arbeitsmodellen, aber auch bei Bring-Your-Own-Device-Ansätzen (BYOD) besteht für ein Unternehmen stets ein größeres Risiko, da das Sicherheitsniveau im Homeoffice des Mitarbeiters oder auf seinem BYOD-Gerät nicht den Anforderungen und Best Practices im Unternehmen entspricht. Eine der grundlegendsten Maßnahmen zur Absicherung von MFPs ist keine andere als bei anderen Arten von Endgeräten: Sicherstellen, dass die Software- und Hardware-Komponenten stets auf dem aktuellen Stand sind. Im Homeoffice und bei BYOD können die IT-Verantwortlichen im Unternehmen dies niemals einwandfrei garantieren. Und laut unserer Studie befassen sich nur 37 Prozent der befragten Unternehmen im Rahmen von IT-Sicherheitsschulungen mit den besonderen Risiken durch hybrides Arbeiten – es fehlt also in vielen Fällen auch am nötigen Wissen.
„Im Rahmen der aktuellen Sharp-Studie zum Thema IT-Security haben wir ebenfalls herausgefunden, dass 36 Prozent der befragten Unternehmen überhaupt keine druckerspezifischen IT-Sicherheitsmaßnahmen getroffen haben. Genau diese Diskrepanz nutzen Angreifer aus.“
FACTS: Welche technischen Maßnahmen sollten Unternehmen ergreifen, um ihre MFPs besser zu schützen?
Bechler: Das Gute an modernen MFPs ist, dass sie üblicherweise bereits standardmäßig über verschiedene leistungsfähige Sicherheitsfunktionen verfügen, die Unternehmen nur zu nutzen brauchen. Dazu zählen beispielsweise Trusted Platform Modules (TPMs), eine Industriestandardtechnologie, die mithilfe kryptografischer Werte die Verschlüsselung von Daten ermöglicht, die von und an den MFP versendet werden. Selbst wenn es ein Angreifer schafft, Daten „auf dem Weg“ abzufangen, werden sie damit wertlos für ihn. Andere solche Standardfunktionen umfassen Audit-Protokolle zur Verfolgung und Überwachung der Gerätenutzung und End-of-Life-Funktionen zur Löschung aller auf dem Gerät befindlichen Daten. Letztere stellt sicher, dass das Gerät nicht zum Risiko wird, nachdem es bereits ausgemustert wurde.
FACTS: Und welche organisatorischen Änderungen sollten sie umsetzen, um das Bewusstsein der Mitarbeiter für die Sicherheit von MFPs zu erhöhen?
Bechler: Mit Blick auf die Ergebnisse unserer Studie lohnt es sich für viele Unternehmen, hier noch einmal bei den Grundlagen anzusetzen, beispielsweise sicherzustellen, dass keine vertraulichen Dokumente unbeaufsichtigt im Ausgabefach oder Scan-Feld des Geräts verbleiben. Grundsätzlich sollte einfach ein Set an einheitlichen und verbindlichen Richtlinien für die sichere Nutzung von MFPs im Unternehmen etabliert werden und diese im Rahmen regelmäßiger Schulungen – und bereits als Teil des Onboardings neuer Mitarbeiter – kommuniziert werden. Inhalte für solche Schulungen könnten beispielsweise ein „How-To“ für sichere Passwörter und PINs oder eine Aufklärung hinsichtlich aktueller Malware-Varianten umfassen.
„Das Gute an modernen MFPs ist, dass sie üblicherweise bereits standardmäßig über verschiedene leistungsfähige Sicherheitsfunktionen verfügen, die Unternehmen nur zu nutzen brauchen.“
FACTS: Müssen Unternehmen in Deutschland hinsichtlich des Schutzes von MFPs regulatorische Anforderungen erfüllen?
Bechler: MFPs sind Geräte für dokumentenbasierte Prozesse, und in Unternehmen enthalten Dokumente oftmals sensible, vertrauliche, personenbezogene oder sogar potenziell geschäftskritische Informationen, von den Zahlen des Quartalsberichts bis hin zur Telefonnummer eines Bewerbers. Hier gelten dieselben regulatorischen Anforderungen für den Umgang mit solchen Informationen wie bei allen anderen Unternehmensprozessen, darunter beispielsweise die DSGVO. Auch deshalb sollten Unternehmen die Risiken von ungesicherten MFPs ernst nehmen. Und die Folgen von Datenschutzverletzungen können nicht nur rechtlicher und finanzieller Art sein. Reputationsschäden aufgrund mangelnder Sicherheit und Sorgfalt können das Geschäft oft noch längerfristiger beeinträchtigen.
FACTS: Welche Sicherheitsaspekte sollten Unternehmen beachten, wenn sie Cloud-Dienste für ihre MFPs nutzen?
Bechler: Hier gelten dieselben Best Practices wie bei Nicht-MFP-spezifischen Cloud-Diensten: Die Dienste sollten in einem Rechenzentrum in Deutschland gehostet sein, um sicherzustellen, dass die Anbieter den Anforderungen deutscher und europäischer Datenschutzregularien entsprechen. Und idealerweise sollte der Umfang von Wartungs‑, Sicherheits- und Back-Up-Leistungen im Rahmen von konkreten Service Level Agreements festgelegt werden, sodass sichergestellt werden kann, dass im Falle eines Vorfalls Rechtssicherheit besteht und eventuelle Ausfallzeiten so kurz wie möglich bleiben.
FACTS: Welche zukünftigen Trends sehen Sie im Bereich der Cybersicherheit, die insbesondere für KMU relevant sein könnten?
Bechler: Wie überall ist auch im Bereich Cybersicherheit künstliche Intelligenz ein großes Thema, auf beiden Seiten: Cybersicherheitsverantwortliche können KI-gestützte Lösungen nutzen, um viele Standardprozesse – zum Beispiel das Bestätigen legitimer Zugriffsanfragen – zu automatisieren. So werden dann Kapazitäten für komplexere Aufgaben frei. Aber auch Angreifer werden in Zukunft KI nutzen, um ihre Angriffsmethoden noch weiter zu verfeinern – beispielsweise durch KI-generierte, hochpersonalisierte Phishing-E-Mails, die viel schwerer als solche erkannt werden können. Selbst wenn also noch keine Pläne bestehen, KI in das eigene Sicherheitsökosystem zu integrieren, lohnt es sich für Unternehmen, den Trend zu verfolgen, schon allein, um über die neuesten Bedrohungen informiert zu sein.
FACTS: Wie wird sich Ihres Erachtens die Bedrohungslage in den kommenden Jahren entwickeln?
Bechler: KI stellt hier wie gesagt eine große Variable dar. Wenn sie es Angreifern ermöglicht, Angriffsmethoden zu automatisieren und zu skalieren, lohnt es sich in Zukunft auch zunehmend, kleinere Unternehmen anzugreifen, die in der Vergangenheit den Aufwand nicht wert gewesen wären. Die Schlagzeilen werden auch weiterhin die technisch komplexen Angriffe auf große internationale Unternehmen machen, aber deshalb sollten sich gerade KMU, in denen die IT-Verantwortlichen oftmals sowieso bereits über begrenzte finanzielle und personelle Ressourcen verfügen, nicht in Sicherheit wiegen.
FACTS: Wann empfiehlt sich für Unternehmen der Einsatz von externer Beratung durch Experten bei der Gestaltung einer langfristigen und ganzheitlichen Sicherheitsstrategie?
Bechler: Grundsätzlich gilt, vor allem in KMU mit begrenzten Ressourcen: Etwas nicht selbst machen zu müssen wird zum Wettbewerbsvorteil, wenn so Kapazitäten für das Tagesgeschäft frei werden. Dementsprechend lohnt es sich für fast jedes Unternehmen, hinsichtlich der Cybersicherheit Expertenberatung hinzuzuziehen. Ganz besonders empfiehlt es sich jedoch dann, wenn entsprechende Expertise im Unternehmen selbst nicht oder nicht ausreichend vorhanden ist. Laut unserer Studie haben 68 Prozent der befragten IT-Entscheider kein Vertrauen in die Fähigkeit ihres Unternehmens, sich erfolgreich gegen Cyberangriffe zu verteidigen. Ganz offensichtlich gibt es hier also einiges nachzuholen. Dafür einen externen Experten zu Rate zu ziehen, sollte so selbstverständlich sein, wie das Auto in die Werkstatt zu bringen, wenn der Motor raucht.
