Cyberangriffe finden längst nicht mehr nur am Arbeitsplatz statt
Wenn Unternehmen über Cybersecurity sprechen, denken viele zunächst an Firewalls, Server, Cloud-Dienste oder Phishing-Mails. Dabei wird ein Risiko häufig unterschätzt: Mobile Apps.
Smartphones und Tablets sind heute fester Bestandteil des Arbeitsalltags. Mitarbeiter greifen unterwegs auf E-Mails zu, bearbeiten Dokumente, kommunizieren über Messenger-Dienste, nutzen Cloud-Anwendungen oder greifen über mobile Apps auf Unternehmenssysteme zu. Gleichzeitig bieten Unternehmen ihren Kunden immer häufiger eigene Apps für Bestellungen, Serviceanfragen, Buchungen oder digitale Dienstleistungen an.
Je stärker Unternehmen auf mobile Anwendungen setzen, desto größer wird jedoch auch die Angriffsfläche für Cyberkriminelle.
Warum mobile Apps ein attraktives Angriffsziel sind
Mobile Anwendungen haben sich vom praktischen Helfer zum zentralen Zugangspunkt für digitale Dienste entwickelt. Viele Geschäftsprozesse werden inzwischen über Smartphones abgewickelt. Gleichzeitig enthalten mobile Apps häufig hochsensible Informationen und dienen als Zugang zu weiteren Systemen.
Ein erfolgreicher Angriff auf eine mobile Anwendung kann deshalb weitreichende Folgen haben:
- Zugriff auf Kunden- und Mitarbeiterdaten
- Kompromittierung von Benutzerkonten
- Identitätsdiebstahl
- Zugriff auf Unternehmensnetzwerke
- Umgehung bestehender Sicherheitsmaßnahmen
- Vorbereitung weiterer Angriffe
Mobile Endgeräte werden dadurch zunehmend zum Einfallstor für größere Sicherheitsvorfälle.
Smishing, Vishing und mobile Phishing-Angriffe nehmen zu
Cyberkriminelle haben längst erkannt, dass Menschen auf Smartphones häufig weniger aufmerksam agieren als am Arbeitsplatz.
Während viele Mitarbeiter bei verdächtigen E-Mails inzwischen vorsichtiger geworden sind, funktionieren Angriffe über mobile Endgeräte oft deutlich erfolgreicher.
Besonders verbreitet sind:
Smishing
Beim sogenannten Smishing erhalten Betroffene täuschend echt wirkende SMS-Nachrichten. Darin werden sie beispielsweise aufgefordert,
- Passwörter zurückzusetzen,
- Paketlieferungen zu bestätigen,
- Kontodaten zu aktualisieren
- oder Sicherheitswarnungen zu prüfen.
Ein einziger Klick auf den enthaltenen Link kann ausreichen, um Schadsoftware zu installieren oder Zugangsdaten preiszugeben.
Vishing
Beim Vishing nutzen Angreifer Telefonanrufe, um Vertrauen aufzubauen und sensible Informationen zu erlangen. Moderne KI-Technologien ermöglichen es inzwischen, Stimmen täuschend echt zu imitieren oder Gesprächssituationen glaubwürdig zu simulieren.
Mobile Phishing
Hinzu kommen klassische Phishing-Angriffe über Messenger, soziale Netzwerke oder mobile Browser. Die kleinen Bildschirme mobiler Geräte erschweren es zusätzlich, verdächtige URLs oder Manipulationen zu erkennen.
Eigene Unternehmens-Apps als Risiko
Nicht nur fremde Anwendungen stellen ein Risiko dar. Auch selbst entwickelte Apps können Sicherheitslücken enthalten.
In vielen Projekten steht die schnelle Markteinführung im Vordergrund. Sicherheitsaspekte werden häufig erst kurz vor dem Go-live oder sogar erst nach der Veröffentlichung betrachtet. Dadurch entstehen Risiken wie:
- unsichere Programmierschnittstellen (APIs)
- unverschlüsselte Datenspeicherung
- fehlerhafte Authentifizierungsverfahren
- mangelhafte Zugriffskontrollen
- fehlender Schutz vor Manipulationen
Angreifer nutzen solche Schwachstellen gezielt aus, um Daten auszulesen oder die Funktionsweise einer App zu manipulieren. Reverse Engineering, Code Injection oder Manipulationen auf kompromittierten Geräten gehören inzwischen zu den etablierten Angriffsmethoden.
Cyberresilience bedeutet mehr als App-Sicherheit
Viele Unternehmen konzentrieren sich auf den Schutz einzelner Anwendungen. Cyberresilience verfolgt jedoch einen deutlich umfassenderen Ansatz.
Die entscheidende Frage lautet:
Wie handlungsfähig bleibt das Unternehmen, wenn eine mobile Anwendung kompromittiert wird?
Deshalb sollten mobile Anwendungen immer Bestandteil der Notfall- und Krisenplanung sein.
Folgende Fragen sollten beantwortet werden:
- Welche Geschäftsprozesse hängen von mobilen Apps ab?
- Welche Daten werden über mobile Anwendungen verarbeitet?
- Welche Systeme können über die App erreicht werden?
- Welche Auswirkungen hätte ein Ausfall?
- Wie erfolgt die Wiederherstellung?
- Wer informiert Kunden und Geschäftspartner?
Notfallpläne für mobile Anwendungen
Unternehmen sollten ihre bestehenden Notfallkonzepte um mobile Anwendungen ergänzen.
Dazu gehören insbesondere:
Incident-Response-Pläne
Der Umgang mit Sicherheitsvorfällen in mobilen Anwendungen sollte klar definiert sein. Verantwortlichkeiten, Eskalationswege und Kommunikationsmaßnahmen müssen dokumentiert werden.
Wiederherstellungskonzepte
Apps müssen aktualisiert, deaktiviert oder im Ernstfall aus den App-Stores entfernt werden können. Gleichzeitig muss sichergestellt werden, dass kritische Geschäftsprozesse weiterlaufen.
Kommunikationspläne
Kommt es zu einem Sicherheitsvorfall, müssen Kunden, Mitarbeiter und gegebenenfalls Aufsichtsbehörden informiert werden. Wer dies übernimmt und welche Informationen bereitgestellt werden, sollte bereits im Vorfeld festgelegt sein.
Notfallpläne müssen regelmäßig getestet werden
Wie bei allen Bereichen der Cyberresilience gilt auch hier:
Ein Konzept allein schafft noch keine Sicherheit.
Viele Unternehmen verfügen zwar über Richtlinien und Notfallpläne, testen diese jedoch nie unter realistischen Bedingungen.
Gerade mobile Anwendungen verändern sich häufig:
- neue Versionen werden veröffentlicht,
- Funktionen werden erweitert,
- Schnittstellen werden angepasst,
- externe Dienste werden integriert.
Dadurch können bestehende Sicherheitsannahmen schnell überholt sein.
Regelmäßige Tests, Sicherheitsanalysen und Krisenübungen helfen dabei, Schwachstellen frühzeitig zu erkennen und die Wirksamkeit der getroffenen Maßnahmen zu überprüfen.
Fazit
Mobile Anwendungen sind längst nicht mehr nur praktische Zusatzfunktionen. Sie sind zentrale Bestandteile moderner Geschäftsprozesse und gleichzeitig attraktive Angriffsziele für Cyberkriminelle.
Unternehmen sollten mobile Apps deshalb nicht isoliert betrachten, sondern als festen Bestandteil ihrer Cyberresilience-Strategie. Neben sicheren Entwicklungsprozessen sind insbesondere Notfallpläne, Wiederherstellungskonzepte und regelmäßige Tests entscheidend, um auch im Ernstfall handlungsfähig zu bleiben.
Wer mobile Anwendungen in seine Sicherheits- und Krisenplanung integriert, reduziert nicht nur das Risiko von Datenschutzverletzungen und Sicherheitsvorfällen, sondern stärkt nachhaltig die Widerstandsfähigkeit des gesamten Unternehmens.
Wir unterstützen Unternehmen gern bei der Entwicklung von Sicherheits- und Notfallkonzepten, der Durchführung von Risikoanalysen sowie bei der Stärkung ihrer Cyberresilience im Einklang mit den Anforderungen der DSGVO, der ISO 27001 und den kommenden NIS2-Vorgaben.