Übersicht
Das Telefon verdient unsere besondere Beachtung: Es ist in nahezu allen Räumlichkeiten eines Unternehmens präsent, viele Mitarbeiter - zumindest die Angestellten - verfügen über einen persönlichen Apparat mit eigener Rufnummer. Und jeder Apparat ist von fast jedem anderen Apparat auf dieser Welt aus erreichbar.
Daraus ergeben sich gleich mehrere Bedrohungen im Hinblick auf den Informationsschutz:
Identifikation und Kontaktaufnahme
Das Telefon ermöglicht einen direkten und risikoarmen Zugang zu den Mitarbeitern eines Unternehmens. Personalberater machen es vor: mit Hilfe des Telefons werden Mitarbeiter identifiziert und nachfolgende Gespräche vereinbart.
Bei der Identifikation wird häufig ausgenutzt, dass sich (kleine bis mittlere) Unternehmen gegenüber potenziellen Kunden sehr aufgeschlossen präsentieren möchten. Wer fragt da schon genau zurück, wenn ein Anrufer "von Müller & Partner" mit einem Ansprechpartner für das Thema XYZ verbunden werden möchte.
Der Autor wurde vor einigen Jahren Zeuge eines besonders krassen Falls. Eine Dame hat sich mehrfach kreuz und quer durch ein Unternehmen verbinden lassen. Hatte sich ein Mitarbeiter gemeldet, so fragte die Dame verwundert, wo sie nun gelandet sei. Auf die Antwort "Hans Maier aus der Abteilung A" erwiderte sie, dass sie eigentlich mit Abteilung B verbunden werden wollte. Sie ließ sich nun mit B verbinden, wo sich das Spiel wiederholte, diesmal mit Abteilung C usw. Durch die kurzzeitige Häufung von "Fehlverbindungen" entstand zunächst den Eindruck, als sei die Telefonanlage defekt.
Vorgeschlagene Maßnahmen
 | Schulung der Telefonzentrale, aber auch aller anderen Mitarbeiter im eleganten Umgang mit "auffälligen" Anrufern, die sich durchfragen, dabei keine Namen oder Allerweltsnamen nennen oder keine Rufnummern abstrahlen. |
| Schutz von Telefonverzeichnissen gegen Einsichtnahme durch Externe. Prozess zur kontrollierten Entsorgung. |
Telefoninterviews
Regelmäßig wird das Telefon ganz offiziell von Vertriebsmitarbeitern anderer Firmen, Marktforschungsunternehmen u.ä. genutzt, um Informationen über das Unternehmen und seine Absichten zu erlangen. Es kann gewünscht sein, dass nur bestimmte festgelegte Stellen im Unternehmen Auskünfte nach extern geben.
Vorgeschlagene Maßnahmen
| Regeln zur Kommunikation mit Externen aufstellen. Themenverantwortlichkeiten und Ansprechpartner definieren. |
| Mitarbeiter schulen. |
Informationsgewinnung
Das Telefon kann genutzt werden, um mit den Methoden des "Social Engineering" risikolos weitergehende Informationen zu erfragen oder bestimmte Handlungen im Unternehmen auszulösen.
Vorgeschlagene Maßnahmen
| Bewusstsein bei den Mitarbeitern schaffen. |
| Verfahren zur eindeutigen Identifikation anwenden, z.B. Informationsweitergabe nur nach Rückruf. |
Abhören von Telefongesprächen
Telefongespräche werden im Normalfall unverschlüsselt übertragen und können abgehört werden. Das ist keine neue Geschichte und wir sollten eigentlich durch die detaillierten Informationen gewarnt sein, die mit der Wende über das umfangreiche Lauschen der Stasi im westlichen Telefonnetz bekannt geworden sind.
Trotzdem wird wie wild telefoniert, heute noch mehr als früher. Eine permanente Abstimmung ist auch unumgänglich, will man Geschäfte erfolgreich abschließen und mit Gewinn durchführen. Aber ist es wirklich notwendig, dabei alle Details und Internas zu besprechen und so eigene strategische Positionen eventuell einem Dritten zu offenbaren?
Das Abhören ist heute durch moderne Übertragungstechnik schwieriger als früher, jedoch nicht unmöglich geworden. Insbesondere nicht für Organisationen, die Zugang zur Technologie besitzen und über die notwendigen Mittel verfügen. Dazu kommen fremde Nachrichtendienste, die direkten Zugriff auf das Netz haben.
Vorgeschlagene Maßnahmen
| Sehr vertrauliche oder heikle Themen nicht am Telefon besprechen. |
| Kontextinformationen weglassen, die beiden Gesprächspartnern ohnehin bekannt sind, wie z.B. Kundennamen oder Ansprechpartner. Damit wird einem Dritten die thematische Einordnung des Gehörten erschwert. |
| An Telefonen und in Telefonverzeichnissen auf die Abhörgefahr hinweisen.
(Das mag merkwürdig und anachronistisch erscheinen und belächelt werden. In vielen Fällen mag es auch unangemessen sein. Aber es empfiehlt sich zumindest dort, wo es um große Beträge in internationalen Geschäften geht) |
| Vornehmlich nationale Telefongesellschaften nutzen. Es dürfte für einen fremden Nachrichtendienst wesentlich leichter und risikoärmer sein, sich der Möglichkeiten einer Telefongesellschaft des eigenen Land zu bedienen. |
| Verschlüsselungsgeräte nutzen. |
| Mitarbeiter schulen. |
Abhören von Raumgesprächen
Telefongeräte stehen in fast allen Büros und Räumlichkeiten der Unternehmen. Sie bieten eine gute Basis, um mit Hilfe von Manipulationen die Gespräche im Raum abzuhören und nach außen zu übertragen.
Vorgeschlagene Maßnahmen
| Kontrolle des Zugangs zu Besprechungsräumen in sensiblen Bereichen. |
| Telefone bei wichtigen Besprechungen ausstecken. |
| Regelmäßige Kontrolle der Geräte in sensiblen Bereichen. |
| Telefonanlagen vor unbefugtem Zugriff schützen |
Weiterführende Links
Links zu diesem Thema finden Sie im Verzeichnis: Telefon
