Schutz vor Cyberangriffen während COVID-19

Ein Collaboration Tool wie Microsoft Teams lässt sich meist in wenigen Schritten installieren. Schon die Standardeinstellungen ermöglichen produktives Arbeiten aus dem Home-Office und bieten eine zeitgemäße Kommunikationsplattform. Oft haben Unternehmen aus Zeitgründen jedoch nur die notwendigsten Schritte für die Integration von Teams in die bestehende IT-Infrastruktur durchgeführt. Folgende Fragestellungen verdeutlichen den Handlungsbedarf:

• Welche vorhandenen Kommunikationslösungen werden parallel genutzt und wie lassen sich diese optimal mit Microsoft Teams integrieren?
• Welche Funktionsbereiche von Microsoft Teams können vorhandene Kommunikationslösungen ersetzen und wie kann ein solcher Prozess aussehen?
• Wie kann die IT-Sicherheit übergreifend und ganzheitlich gewährleistet werden, sowohl in der On-Premises-IT-Infrastruktur als auch in der Microsoft Cloud?
• Wie lässt sich weiterhin die Produktivität erhalten und steigern sowie gleichzeitig die Komplexität reduzieren, um den Supportbedarf gering zu halten?

Insbesondere in hybriden Cloud-Umgebungen ist der Identitätsschutz wichtig. Das Prinzip „Zero Trust“ dient dem ortsunabhängigen Schutz. Es umfasst die anwendungsübergreifende Überprüfung und Risikobewertung von Identitäten zu jedem Zeitpunkt und in allen Vorgängen. Dies ermöglicht eine schnelle und zielgenaue Reaktion auf entsprechende Angriffsszenarien. Über folgende Technologien lassen sich Identitäten nachhaltig schützen:

• Multi-Faktor-Authentifizierung verhindert den Missbrauch von gestohlenen Identitäten 
• Bedingter Zugriff, um eine Anmeldung mit kompromittierten oder risikobehafteten Identitäten automatisch zu verhindern
• Kennwortschutz zum Erkennen und Vermeiden schwacher und kompromittierter Kennwörter 
• Passwortlose Anmeldung, zum Beispiel mit FIDO2-Sicherheitsschlüssel
• Zuweisung von privilegierten Berechtigungen, bei Bedarf beschränkt auf den benötigten Zeitraum

Der Verlust digitaler Informationen kann existenzbedrohend sein. So schreibt nicht zuletzt die DSGVO einen angemessenen Schutz von relevanten digitalen Informationen vor. Versehentliches und vorsätzliches Teilen, Verändern und Löschen von Informationen sowie Diebstahl und unerwünschter Abfluss von Daten sind zu erkennen und zu verhindern. 

Die Klassifizierung und Kennzeichnung von Informationen mit Vertraulichkeitsstufen ermöglichen gezielte automatisierte Maßnahmen gegen den Verlust vertraulicher Daten. Durch Verschlüsselung lassen sie sich im gesamten Lebenszyklus vor nicht autorisierten Zugriffen geräte- und anwendungsübergreifend schützen. Aufbewahrungskennzeichen stellen die Verfügbarkeit von Daten sicher, auch wenn diese versehentlich oder vorsätzlich beschädigt oder gelöscht wurden. Sie ermöglichen auch die Datensparsamkeit durch automatisiertes Löschen von Daten nach Ablauf der definierten Aufbewahrungszeiten.

Personenbezogene Daten befinden sich an vielen Stellen im Unternehmen. Bei Tools zur Zusammenarbeit sind mindestens die Mitarbeiterdaten zu berücksichtigen. Dazu gehören die Unternehmens-E-Mail-Adresse sowie Vorname und Nachname jedes Mitarbeitenden. Um aus Datenschutzsicht mit einem Collaboration Tool arbeiten zu dürfen, muss unter bestimmten Voraussetzungen vorab eine Datenschutzfolgeabschätzung (DSFA) inklusive Risikobewertung durchgeführt werden. Ist dies aufgrund der Krisensituation nicht geschehen, ist sie zeitnah nachzuholen. Auch wenn keine DSFA erforderlich ist, muss eine Risikobewertung stattfinden. 

Nach der Identifizierung und Dokumentation der personenbezogenen Daten erfolgt die Ergänzung der neuen Bearbeitungsprozesse in den bestehenden Dokumentationen zum Datenschutz (Verzeichnis von Verarbeitungstätigkeiten). Dabei ist zu prüfen, ob bereits entsprechende Richtlinien für die Verwendung des neuen Tools im Unternehmen verankert sind, zum Beispiel für Remote Work oder Bring your own Device. Fehlen solche Richtlinien, müssen sie Unternehmen entwickeln und einführen. Im Sinne des Grundsatzes der Datensparsamkeit sind zusätzlich Rollen und Verantwortlichkeiten in Bezug auf Zugriff, Verwaltung, Speicherung und Löschung von Daten innerhalb des neuen Tools zu klären.

Die DSGVO fordert von Unternehmen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Beim Auftreten von Verstößen müssen sie die zuständigen Behörden innerhalb von 72 Stunden informieren, in einigen Fällen auch einzelne Personen benachrichtigen. So sind für jedes neue Tool solche dokumentierten und nachweisbaren technisch-organisatorischen Maßnahmen zu ergreifen. 

Unternehmen müssen auch nachweisen können, wie sie personenbezogene Daten erheben, verwenden, speichern, übermitteln und vernichten. Zum Beispiel stellt Microsoft für die Kunden von Teams entsprechende Dienste bereit, die bei der Verwaltung der erforderlichen Dokumente unterstützen. Dazu gehören Security und Compliance Center oder Audit Logs.