Warum Verschlüsselung allein nicht ausreicht, um die mobile Kommunikation zu sichern

Mit freundlicher Genehmigung von Cybersecurity Insiders.

Unternehmen haben jahrelang daran gearbeitet, die Sicherheit ihrer Netzwerke, Cloud-Umgebungen und Endgeräte zu verbessern. Diese Investitionen waren zwar notwendig und haben dazu beigetragen, die Widerstandsfähigkeit des gesamten Unternehmens zu stärken, doch ein Bereich, der oft weniger Beachtung findet, ist die mobile Kommunikation.

Das ist von Bedeutung, da mobile Geräte mittlerweile eine zentrale Rolle für die Arbeitsweise von Unternehmen spielen. Wichtige Entscheidungen werden per Telefonat oder Nachricht getroffen, Teams koordinieren ihre Aktivitäten standortübergreifend, und sensible Informationen werden regelmäßig über mobile Kanäle ausgetauscht.

Für Regierungen, Betreiber kritischer Infrastrukturen und stark regulierte Organisationen stellt dies ein eindeutiges Sicherheitsrisiko dar. Die Mobilfunkkommunikation ist längst kein zweitrangiger Kommunikationskanal mehr, sondern fester Bestandteil des täglichen Betriebs.

Die Studie „State of Secure Communications 2026“ von BlackBerry verdeutlicht, wie verbreitet dies mittlerweile ist. Die Untersuchung ergab, dass 83 % der Sicherheitsverantwortlichen angeben, dass WhatsApp für vertrauliche Gespräche innerhalb ihres Unternehmens genutzt wird.

Das Problem ist nicht, dass Mitarbeiter die Sicherheitsrichtlinien bewusst missachten. In vielen Fällen entscheiden sie sich einfach für Tools, die leicht zugänglich und benutzerfreundlich sind. Externe Partner nutzen möglicherweise andere Plattformen, zugelassene Tools sind nicht immer praktikabel, und in Störungssituationen greifen die Menschen oft auf die Kanäle zurück, die ihnen eine schnelle Kommunikation ermöglichen.

Infolgedessen ist die Mobilkommunikation zu einem festen Bestandteil des Betriebsalltags von Unternehmen geworden, unabhängig davon, ob sie ursprünglich für diesen Zweck konzipiert war oder nicht.

Verschlüsselung ist wichtig, aber das ist noch nicht alles

Viele Diskussionen zum Thema Sicherheit in der Mobilkommunikation beginnen und enden mit der Verschlüsselung. Die Verschlüsselung ist zweifellos wichtig, da sie dazu beiträgt, den Inhalt einer Nachricht während der Übertragung zu schützen. Sie sollte jedoch nicht mit einer umfassenden Strategie zur Kommunikationssicherheit verwechselt werden.

Unsere Untersuchung ergab, dass 52 % der Sicherheitsverantwortlichen der Ansicht sind, dass Verschlüsselung Metadaten schützt, darunter Standortdaten, IP-Adressen und Kommunikationsmuster. 47 % glauben, dass sie Angriffe durch Identitätsdiebstahl, Deepfakes oder Spoofing verhindert, während 41 % davon ausgehen, dass die Kommunikation auch dann noch sicher ist, wenn ein Gerät kompromittiert wurde.

Diese Erkenntnisse deuten darauf hin, dass viele Organisationen möglicherweise zu viel Vertrauen in die Möglichkeiten setzen, die die Verschlüsselung allein bieten kann.

Verschlüsselung dient weder der Identitätsprüfung noch der Sicherung eines kompromittierten Geräts. Sie beseitigt auch nicht die Risiken, die mit Phishing, Identitätsbetrug oder böswilligem Zugriff auf Kommunikationsplattformen verbunden sind.

Ein Blick über die Messaging-App hinaus

Bei der Bewertung von Mobilfunknetzen sollten Unternehmen über die Frage hinausblicken, ob eine bestimmte Anwendung verschlüsselt ist.

Sicherheitsverantwortliche müssen das Gesamtbild im Blick behalten, einschließlich Identitätsprüfung, Kontosicherheit, Offenlegung von Metadaten und der Netzwerke, die diese Dienste unterstützen.

Dies gilt gleichermaßen für den Nachrichtenaustausch und die Sprachkommunikation. Unternehmen legen oft großen Wert auf Messaging-Anwendungen, während sie der Sprachkommunikation weniger Beachtung schenken – obwohl sensible Informationen regelmäßig am Telefon besprochen werden.

Das Ziel sollte darin bestehen, zu verstehen, wo vertrauliche Gespräche stattfinden, wie sie geschützt werden und was passiert, wenn ein Gerät oder eine Plattform kompromittiert wird.

Noch wichtiger ist, dass Unternehmen erkennen müssen, dass Angreifer nicht unbedingt die Verschlüsselung knacken müssen, um an wertvolle Informationen zu gelangen. In vielen Fällen ist es einfacher, die Personen und Geräte im Umfeld einer Unterhaltung ins Visier zu nehmen als die Unterhaltung selbst.

Ein Angreifer, der sich Zugriff auf ein Konto verschafft, kann sich als vertrauenswürdiger Kontakt ausgeben. Ein kompromittiertes Gerät kann Nachrichten offenlegen, nachdem diese entschlüsselt wurden. Metadaten können Kommunikationsmuster und operative Aktivitäten offenlegen, selbst wenn der Inhalt der Nachrichten geschützt bleibt. Diese Schwachstellen liegen außerhalb des verschlüsselten Kanals, können jedoch dennoch erhebliche Folgen haben.

Für Regierungen, Betreiber kritischer Infrastrukturen und andere stark regulierte Organisationen wird es immer wichtiger, diese Risiken zu verstehen, da die Mobilkommunikation im täglichen Betrieb eine immer größere Rolle spielt.

Die Mobilfunkkommunikation erfordert dieselbe Aufmerksamkeit in Bezug auf die Sicherheit wie andere Systeme

Für viele Unternehmen ist die mobile Kommunikation mittlerweile für den täglichen Betrieb ebenso wichtig wie Netzwerke und Geschäftsanwendungen. Sicherheitsteams sollten wissen, auf welche Kanäle Mitarbeiter und Partner zurückgreifen, welche Risiken mit diesen Kanälen verbunden sind und ob die bestehenden Kontrollmaßnahmen der Sensibilität der ausgetauschten Informationen angemessen sind.

Die Verschlüsselung spielt in dieser Diskussion nach wie vor eine wichtige Rolle, ist jedoch nur ein Aspekt.

Ein umfassenderer Ansatz erfordert, dass Unternehmen sich mit den Themen Identität, Gerätesicherheit und dem Informationsaustausch über verschiedene Kanäle hinweg auseinandersetzen.

Unternehmen sollten wissen, auf welche Kanäle Mitarbeiter und externe Partner zurückgreifen, wie der Zugriff kontrolliert wird und welche Sicherheitsvorkehrungen bestehen, falls ein Gerät, ein Konto oder ein Dienst kompromittiert wird. Sie sollten außerdem berücksichtigen, welche Informationen über Metadaten offengelegt werden können, selbst wenn der Inhalt der Nachrichten verschlüsselt bleibt, und prüfen, ob sie ausreichenden Einblick darin haben, wie sensible Informationen weitergegeben werden.

Die Mobilkommunikation existiert nicht isoliert, sondern ist eng mit Identitätssystemen, Netzwerken und den betrieblichen Prozessen verknüpft, auf die sich die Menschen tagtäglich verlassen. Die Sicherheit wird oft ebenso sehr von den beteiligten Personen, Konten und Geräten bestimmt wie von der Anwendung selbst.