Wenn der Drucker zum IT-Sicherheitsrisiko wird

Cyberangriffe betreffen nur grosse, internationale Unternehmen und erfolgen ausschliesslich mittels technisch komplexer Angriffsmethoden und -vektoren. So lautet eine weitverbreitete Annahme – und die ist falsch. Wie eine aktuelle Studie von Sharp unter mehr als 500 IT-Entscheidern und Beschaffungsverantwortlichen aus KMUs verschiedener Branchen in der Schweiz zeigt, war rund jedes vierte Schweizer KMU (27 Prozent) bereits Opfer einer IT-Sicherheitsverletzung – und häufig war das Einfalls­tor für die Angreifer in diesen Fällen ausgerechnet der Bürodrucker.

Ungeschützte, vernetzte Multifunktionsdrucker (MFPs) stellen demnach ein nicht sofort offensichtliches, aber deshalb nicht weniger relevantes Sicherheitsrisiko für die IT-Sicherheit in Unternehmen dar. Doch tatsächlich sind sich nur 6 Prozent der von Sharp Befragten dessen bewusst. 17 Prozent gaben zudem an, dass ihr Unternehmen keinerlei druckerspezifische Sicherheitsmassnahmen getroffen hat, und nur rund ein Viertel schult seine Mitarbeitenden hinsichtlich Drucker- (24 Prozent) oder Scanner-­Sicherheit (28 Prozent).

Obwohl also in vielen Unternehmen inzwischen ein Bewusstsein für die Gefahr ungeschützter Endgeräte (z. B. Laptops, Tablets und Smartphones) besteht, scheinen in den Köpfen der Befragten die Drucker in den eigenen Büros zu unbedeutend zu sein, um zum Ziel von Angreifern zu werden. Genau diese Fehleinschätzung nutzen Cyberkriminelle jedoch aus, um sich Zugang zu sensiblen Daten, Computern und Netzwerken zu verschaffen. Die gute Nachricht: Unternehmen können dieses Risiko bereits mit einigen wenigen Basismassnahmen signifikant reduzieren.

Das Einmaleins der MFP-Sicherheit

Grundsätzlich gilt: Im Gegensatz zu anderen Endpunkten im Unternehmensnetzwerk werden auf MFPs Informationen sowohl in Papierform (z. B. Ausdrucke und Kopien) als auch in digitaler Form (z. B. gescannte Dokumente) verarbeitet. Dementsprechend muss MFP-Sicherheit in beiden Dimensionen gedacht und umgesetzt werden. Im ersten Schritt sollten Unternehmen daher sicherstellen, dass die Softwarekomponenten von Druckern und Scannern regelmässige Updates erhalten, um potenzielle Schwachstellen schnell zu beheben. Idealerweise werden im selben Schritt auch regelmässige Backups wichtiger Dateien eingerichtet, um sicherzustellen, dass im Falle eines Angriffs oder Datenverlusts Betriebsabläufe wiederhergestellt und Ausfallzeiten minimiert werden können.

So viel zur Softwareseite – die Grundlagen der MFP-Sicherheit sind jedoch noch einfacher: Beispielsweise indem einheitliche, unternehmensweit verbindliche Standards für den sicheren Umgang mit MFPs etabliert und die Mitarbeitenden für diese mithilfe von regelmässigen Schulungen sensibilisiert werden. Inhalte für entsprechende Schulungen sollten auf jeden Fall die Nutzung von sicheren Passwörtern, PINs oder Multi-Faktor-Authentifizierungsmethoden (beim sogenannten Pull-Printing) umfassen. Aber auch der Hinweis, vertrauliche Ausdrucke und Kopien nicht unbeaufsichtigt im Ausgabefach des MFPs zu lassen, kann bereits dazu beitragen, Risiken zu minimieren. Denn wie oben erwähnt sind es oftmals schon die Grundlagen in Sachen IT-Sicherheit, an denen es mangelt. Nur mit einem breiten Bewusstsein der Belegschaft für diese Themen lassen sich druckerspezifische Sicherheitsrisiken wirksam minimieren. 
 

"MFPs sind allgegenwärtige und unauffällige Komponenten der Unternehmens-IT"

Drucker gehören zur Standardausrüstung in Büros und werden häufig nicht als Gefahrenquelle wahrgenommen. Wie Unternehmen ihre Multifunktionsdrucker schützen und gleichzeitig ihre Mitarbeitenden sensibilisieren, erklärt Torsten Bechler, Manager Product Marketing, Sharp Business Systems Deutschland. Interview: Tanja Mettauer

Welche Faktoren vereinfachen den Zugang via Multifunktionsdrucker (MFP) für ­Cyberkriminelle?

Torsten Bechler: Auf MFPs werden sensible Informationen sowohl digital als auch in Papierform verarbeitet. Damit verdoppeln sich bereits die potenziell von Angreifern stehlbaren Daten. Hinzu kommt, dass MFPs Knotenpunkte für zahlreiche Geschäftsprozesse darstellen und entsprechend über viele verschiedene Touchpoints verfügen, die von Angreifern genutzt werden können – von Touchdisplays mit Benutzeroberflächen und Webseiten für die Konfiguration und Verwaltung bis hin zu Schnittstellen zu anderen Endgeräten. Und zuletzt der psychologische Aspekt: MFPs sind allgegenwärtige und unauffällige Komponenten der Unternehmens-IT, weshalb sie von vielen Verantwortlichen als potenzielles Risiko übersehen werden und daher oft schlecht geschützt sind.

Von welchen eingebauten Druckersicherheitsfunktionen ­sollten Unternehmen Gebrauch machen?

Wie alle Arten von Endgeräten sollten Drucker stets über die neuesten Versionen von Softwarekomponenten verfügen, um potenzielle Schwachstellen zu minimieren. Die meisten modernen MFPs bieten deshalb eine Funktion zur automatischen Aktualisierung von Betriebssystem, Antiviren-Software und ähnlichen Komponenten an, die definitiv genutzt werden sollte. Eine weitere wichtige Funktion ist ein Trusted Platform Module (TPM), eine Industriestandardtechnologie, die mithilfe von kryptografischen Werten auf dem MFP gespeicherte und vom MFP an andere Endgeräte gesendete Daten sicher verschlüsselt. Damit können die Daten selbst dann von Angreifern nicht verwendet werden, wenn diese sie «in Bewegung» abfangen.

Mit welchen Tools können Unternehmen den Zugriff auf ihre Drucker managen?

Man kann keine Systeme oder Geräte schützen, deren Existenz, Zweck, Standort, Status, Konfiguration, Alter und Version nicht bekannt sind. Die Nutzung von Tools zur Erfassung und Verwaltung von Faktoren wie Gerätetyp, Modell und Firmware-Version von Druckern beziehungsweise MFPs sind deshalb eine essenzielle erste Schutzmassnahme. Mit einer entsprechenden Tracking-Software und Audit-Protokollen können alle Aktivitäten auf allen Geräten im Netzwerk eingesehen und Datenschutzverletzungen erkannt werden. Tools, über die sich der Zugriff auf MFPs erteilen und steuern lässt, ergänzen diese Strategie dann optimal. Dazu zählen beispielsweise Anwendungs-Whitelists: Sie erlauben es ausschliesslich vertrauenswürdigen Anwendungen, auf den MFP zuzugreifen.

Welche Druckerfunktionen sollten Unternehmen in der Regel deaktivieren?

Diese Frage kann man nicht pauschal beantworten, da dies stark von den Gegebenheiten vor Ort abhängt. Um die passenden Sicherheitseinstellungen zu finden, sollten Unternehmen vor der Druckerbeschaffung gemeinsam mit dem Anbieter entsprechende Audits durchführen und die Drucker anschliessend nach den gemeinsam erarbeiteten Einstellungen konfigurieren. 

Welche Sicherheitsvorkehrungen sollten Unternehmen vor Ort treffen?

Wie erwähnt, gilt es bei MFPs zu beachten, dass diese neben digitalen Informationen auch papierbasierte Daten in Form von Kopien, Scans oder Druckaufträgen verarbeiten. Deshalb sollten Mitarbeitende dafür sensibilisiert werden, entsprechende Dokumente nicht im Gerät zu vergessen. Ansonsten gelten für den physischen Schutz von MFPs die gleichen Schutzmassnahmen wie für alle anderen, nicht einfach zu bewegenden Unternehmensressourcen, wie etwa Server oder Desktop-Computer. Idealerweise ist der Zugang zu ihnen eingeschränkt und nur berechtigten Mitarbeitenden möglich, die ihre Identität einwandfrei ausweisen können – beispielsweise durch Ansätze wie Multi-Faktor-Authentifizierung.