Schatten-IT in der Teamkommunikation vermeiden
In Zeiten des mobilen Arbeitens und zunehmender Cyberkriminalität wird es immer wichtiger, dass Unternehmen potenzielle IT-Sicherheitslücken in der eigenen IT-Landschaft schließen. Die Crux: Mangels fehlender Lösungen greifen Mitarbeiter auf unautorisierte Consumer-Apps zurück, etwa WhatsApp. Eine derartige Schatten-IT gefährdet aber die Datensicherheit. Der Beitrag gibt sieben Tipps, wie IT-Administratoren die Teamkommunikation sicher gestalten und was bei der Auswahl entsprechender Werkzeuge zu beachten ist.
Lahmgelegte Systeme und kritische Datenlecks: Pro Tag registriert das Bundesamt für Sicherheit in der Informationstechnik (BSI) 320.000 neue Schadprogramme, wie der im September 2020 veröffentlichter Lagebericht zur IT-Sicherheit in Deutschland [http://www.bsi.bund.de/DE/Publikationen/Lageberichte/lageberichte_node.html] offenbart. Die beunruhigenden Zahlen zeigen nicht nur, dass Cyberkriminalität eine zunehmende Bedrohung darstellt, sondern auch, wie wichtig es ist, potenzielle Sicherheitslücken in der eigenen IT-Landschaft zu schließen.
Eine Herausforderung hierbei: In vielen Unternehmen und Organisationen besteht ein Großteil der Belegschaft aus mobilen Mitarbeitern oder arbeitet remote, etwa im Home Office. Häufig fehlt ihnen das richtige Tool, um sich schnell und auf kurzem Weg mit Kollegen auszutauschen. Daher greifen sie auf nicht verwaltete Geräte, wie etwa ihr privates Smartphone, und unautorisierte Apps, wie etwa WhatsApp, zurück. Eine derartige Schatten-IT ist nicht DSGVO-konform und gefährdet die Datensicherheit, die etwa in KRITIS-Unternehmen eine besonders wichtige Rolle spielt.
1. Tipp: Selbstkritisch sein
Dass Mitarbeiter nicht autorisierte Anwendungen auf ihren mobilen Endgeräten für die interne Kommunikation sorglos einsetzen, ist vielerorts darauf zurückzuführen, dass sie nicht um die damit einhergehenden Gefahren hinsichtlich der IT-Sicherheit wissen. Anstatt eine Laissez-faire-Haltung einzunehmen und die Mitarbeiter einfach machen zu lassen, sollten IT-Administratoren ein Bewusstsein dafür schaffen, welche Probleme die Nutzung solcher Anwendungen in Bezug auf Datenschutz und -sicherheit mit sich bringt. So erzeugen sie das nötige Verständnis, warum eine sichere und DSGVO-konforme Alternative erforderlich ist. Versäumen sie dies, sollten sie sich bewusst sein, dass die Schatten-IT wächst und dass sie für etwaige Datenlecks im Zweifel die Verantwortung übernehmen müssen.
2. Tipp: Die Mitarbeiterbedürfnisse im Blick haben
IT-Administratoren sollten genau prüfen, welche Anwendungen die Mitarbeiter für ihre wechselseitige Kommunikation nutzen und in welchen Fällen sie auf Instant Messaging zurückgreifen. Auf diese Weise erfahren sie, auf welche Funktionalitäten die Anwender besonders großen Wert legen. So sind beispielweise die Alarmierung und Live-Standort-Übermittlung für mobile Mitarbeiter von Blaulicht-Organisationen zentral, während die Anbindung an Drittsysteme, etwa das CRM-System, für Vertriebsmitarbeiter im Außendienst unerlässlich ist, um Kundendaten jederzeit abfragen und aktualisieren zu können. Die Mitarbeiterbedürfnisse im Blick zu haben, hilft IT-Administratoren, ein passendes Kommunikationswerkzeug auszuwählen. Gleichzeitig stellen sie durch ein solches Vorgehen sicher, dass alle relevanten Anwendungsfälle abgedeckt sind.
3. Tipp: Kommunikationswerkzeug schnell einführen und vollautomatisch einrichten
Wenn es darum geht, eine hohe Nutzerakzeptanz zu schaffen, sind nicht nur die Funktionalitäten eines Kommunikationstools entscheidend. IT-Administratoren sollen auch in der Lage sein, ihren Kollegen eine praktikable und unternehmensweit nutzbare Software schnell und einfach zur Verfügung zu stellen. In der Regel gibt es bereits ein UEM-System beziehungsweise eine MDM-Umgebung, die die zentrale Verwaltung der mobilen Geräte sicherstellt. Das erlaubt wiederum, die App unkompliziert zu installieren, automatisch einzurichten und eine nutzerfreundliche Registrierung zu unterstützen. Somit erfolgt der gesamte Konfigurationsprozess ohne jegliche Nutzerinteraktion und die Anwendung ist mit dem ersten Einloggen voll einsatzbereit. Zugleich ermöglichen zahlreiche administrative Einstellungen, die App organisationsweit vorzukonfigurieren und umfassend abzusichern. So reduziert sich der Aufwand für die Nutzerverwaltung auf ein Minimum – eine Win-Win-Situation für IT-Administratoren und Mitarbeiter.
4. Tipp: Das Kommunikationstool in die IT-Landschaft integrieren
In vielen Unternehmen gibt es Datensilos, die den Informationsaustausch langsam, aufwendig und fehleranfällig machen. Ziel muss es daher sein, die unterschiedlichen Kommunikations- und Informationssysteme nahtlos miteinander zu verknüpfen. Um einen ganzheitlichen Datenaustausch zu unterstützen, sollte eine Software wie eine Business Messaging App eine offene API bereitstellen, über die sich Drittsysteme, etwa CRM- und ERP-Systeme, einfach anbinden lassen.
Die App wird zum zentralen Kommunikationshub, der nicht nur den Informationsaustausch – durch automatisierte Prozesse und beschleunigte Workflows – verbessert, sondern auch die Produktivität erheblich steigert: Die Nutzer können orts- und zeitunabhängig auf alle relevanten Daten zugreifen. Idealerweise gibt es eine WhatsApp-Business-API, über die sich die Messenger zugunsten einer optimierten externen Kommunikation miteinander verknüpfen lassen. So kann auch der kommunikative Austausch zwischen Endkunden und Kundenservice-Mitarbeitern datenschutzkonform zwischen einem Consumer Messenger und einem Business-Messaging-Werkzeug erfolgen.
5. Tipp: Auf einen deutschen Anbieter vertrauen
Unabhängig davon, welche Strategie ein Unternehmen für seine IT-Infrastruktur verfolgt – Cloud, Private Cloud oder On-Premises –, sollte es stets das höchste Maß an Sicherheit anstreben. Nur wenn die Daten, die in der Business Messaging App erzeugt werden, in einem ISO-27001-zertifizierten Rechenzentrum mit Standort in Deutschland gehostet und nach modernen Standards verschlüsselt werden, sind IT-Administratoren auf der sicheren Seite. Insbesondere deutsche Anbieter agieren gemäß den strengen Vorschriften der DSGVO und des Bundesdatenschutzgesetzes. Entscheiden sich IT-Administratoren für die Angebote US-amerikanischer Unternehmen oder ihrer Tochterfirmen, ist dies nicht der Fall. Genauso wichtig ist es, die Anwendung regelmäßigen Audits inklusive Penetrationstests und Schwachstellenanalysen zu unterziehen. So haben Cyberkriminelle keine Chance.
6. Tipp: Personenbezogene Daten umfassend schützen
Neben der Datensicherheit kommt der Datensouveränität und -sparsamkeit gemäß DSGVO eine gesteigerte Bedeutung zu. Daher sollte ein Instant-Messaging-Tool für den Betrieb so wenig Daten wie möglich verwenden und auf personenbezogene Daten nur dann zugreifen, wenn es aus Bereitstellungs-, Sicherheits- oder Administrationsgründen absolut notwendig ist. Zentral ist zudem, dass Daten vollständig verschlüsselt sind und dass keine versteckten Analysen von Metadaten, Nutzern und der Kommunikation im Hintergrund erfolgen.
7. Tipp: Die volle IT-Hoheit haben
Über ein professionelles Administratorenportal behalten IT-Administratoren jederzeit die Hoheit über die Software und folglich auch die Datenflüsse. Es ist der zentrale Ankerpunkt, um die Benutzerverwaltung und die Rechteverteilung zu steuern. Hier können IT-Administratoren Nutzer nicht nur einladen, autorisieren und managen, sondern ihren Zugriff jederzeit wieder sperren. Über das Portal lassen sich außerdem Kommunikations-, Datenschutz- und Sicherheitsrichtlinien festlegen und neben Nachrichten auch Daten revisionssicher archivieren. In diesem Zusammenhang sollte es möglich sein, Benutzer oder Gruppen direkt aus bestehenden Verzeichnissen, wie etwa dem Active Directory, bequem zu importieren und die entsprechenden Daten laufend zu synchronisieren. Auch Aspekte wie die Mandantenfähigkeit und die Nutzung mehrerer Domains sind hier zentrale Pfeiler.
Fazit
Beachten IT-Administratoren diese Tipps, ist ein erster und bedeutender Schritt getan, um Schatten-IT ein für alle Mal aus der Team-Kommunikation zu verbannen. Durch ein solches Vorgehen sensibilisieren sie die Mitarbeiter für Datenschutz und -sicherheit. Das hilft ihnen, ein Werkzeug auszuwählen, das sowohl die Mitarbeiter- als auch die IT-Bedürfnisse in Einklang bringt. Auf kurz oder lang lässt sich so die Kommunikation und Kollaboration effektiver gestalten – was vor allem die mobilen Kollegen stärkt. Zugleich gelingt es, Sicherheitslücken zu schließen und die volle IT-Kontrolle zu behalten.
Autor: Tobias Stepan, Gründer und Geschäftsführer der Teamwire GmbH