Informationssicherheit auf Reisen
Informationssicherheit ist auch auf Reisen wichtig. Um Reisevorbereitungen sicher umsetzen zu können, wurde für die Beurteilung der Risiken ein Modell entwickelt.
Grundsatz: Erst planen, dann reisen!
Das Sicherheitsmodell für Reisen
Dieses Modell basiert auf frei zugänglichen Indizes zu Risikothemen und teilt Länder in drei Risikostufen ein, für die jeweils angepasste Sicherheitsmassnahmen empfohlen werden.
Grid containing content elements
Die Themen per Klick aufklappen oder zuklappen:
>
Abhören oder Abschauen
Was dabei geschehen kann:
- Gespräche können mitgehört werden oder es wird durch Ausspähen des Bildschirms (Handy oder Laptop) mitgelesen, respektive ein Video vom Eintippen des Passwortes erstellt, um ans Passwort zu kommen.
- WLAN-Netzwerke werden überwacht und aufgezeichnet.
- Viele Räume sind mit Audio- und Videoüberwachung versehen.
- Einige Länder überprüfen auch Verschlüsselungen, indem sie unterbrochen und mitgehört werden.
- Teilweise sind auch die lokalen Vertreter von Cloud-/VPN- und Kommunikationsfirmen einem Mithörzwang unterstellt.
- In Ladegeräten oder sogar Ladekabeln können Abhörvorrichtungen enthalten sein, die neben der Aufladung des Gerätes dieses mit Schadsoftware infizieren, Inhalte runterladen oder Passwörter aushorchen.
Was dabei helfen kann:
Auch bei Niedrigem Risiko:
- Seien Sie sich immer bewusst, in welchem Umfeld Sie sprechen und welche Informationen Sie bearbeiten. Kopfhörer vermitteln oft ein Gefühl von Abgeschiedenheit, obwohl andere weiterhin mithören können.
- Sichtschutzfolien für Smartphones und Laptops sorgen dafür, dass Bildschirminhalte nur aus direkter Perspektive sichtbar sind.
- Wenn das Land VPN zulässt, ist die stetige Nutzung des UZH-VPNs empfohlen.
- Anstatt mit Passwörtern kann mit dem Fingerabdruck oder mit Gesichtserkennung eingeloggt werden (Die neuen Laptops der ZI lassen dies zu). Dies hat andere Nachteile, aber das Mitlesen der Passworteingabe wird verhindert.
- Keine unbekannten WLANs verwenden (Am besten gar keine).
Ab einem mittleren Risiko:
- Handys und Laptops nicht an fremden oder öffentlichen Ladekabeln oder Ladegeräten aufladen, es könnten Datenabhörvorrichtungen im Kabel verbaut sein oder es wird Schadsoftware installiert.
- Passwörter nie auf öffentlichen oder unbekannten Geräten, wie Internetkaffees, Hotel-PCs oder in sonstigen Situationen eingeben.
- Die wichtigen Daten im Handgepäck transportieren, so kriegt man mit, was damit passiert. Koffer werden geöffnet und durchsucht.
Ab einem hohen Risiko:
- Am besten keine sensitiven Informationen mitnehmen oder bearbeiten.
>
Diebstahl von Geräten
Was dabei geschehen kann:
- Wenn bei einem Diebstahl die auf dem Gerät vorhandenen Informationen, Zugangsdaten oder konfigurierten Zugänge (VPN o.ä.) nicht genügend gesichert oder sich nicht aus der Ferne löschen lassen, können sie in die Hände der Diebe fallen, welche diese Wiederum verkaufen oder veröffentlichen können.
- Dies könnte in zusätzlichen Angriffen oder Datenschutzverletzungen enden.
Was dabei helfen kann:
Auch bei Niedrigem Risiko:
- Ein Diebstahl muss unverzüglich gemeldet werden.
Ab einem mittleren Risiko:
- Keine Informationen mitnehmen, welche nicht unbedingt gebraucht werden. Diese sollten gut verschlüsselt sein (wenn Verschlüsselungen in dem Land nicht verboten sind) oder unter der Kontrolle einer IT-Abteilung bei der UZH, damit im Notfall die Daten gelöscht werden können.
>
VPN nicht zugelassen oder illegal
Was dabei geschehen kann:
- Das VPN kann nicht aufgebaut werden.
- Die Benutzung von VPN kann zu einer Verhaftung führen.
Was dabei helfen kann:
Auch bei Niedrigem Risiko:
- VPN möglichst immer verwenden
Ab einem mittleren Risiko:
- Andere (legale) Methoden finden, wie Daten vor der Rückreise vorsorglich in Sicherheit gebracht werden können.
Ab einem hohen Risiko:
- Kein VPN auf den Geräten installiert haben.
>
Verschlüsselung
Was dabei geschehen kann:
- Gewisse Verschlüsselungsarten sind in gewissen Ländern nicht zugelassen oder sie erzeugen ungewollte Aufmerksamkeit.
- Verschlüsselte Datenträger können schon am Flughafen zu Unannehmlichkeiten, Beschlagnahmung oder Verhaftung führen.
Was dabei helfen kann:
Ab einem hohen Risiko:
- Möglichst keine offensichtlichen Verschlüsselungstools oder -hardware mitnehmen.
>
Beschlagnahmung und Erzwingungshaft
Was dabei geschehen kann:
- Am Flughafen kann man gezwungen werden, den Laptop mit Passwort zu öffnen, um zu zeigen, dass man ihn wirklich nutzen kann.
- Der Laptop kann konfisziert werden oder verschwindet für eine gewisse Zeit aus der eigenen Kontrolle.
- Herausgabezwang von Passwörtern, Zugängen, Informationen oder Hardware wird strikt durchgesetzt (Bis zu Androhung von Erzwingungshaft).
- In diesen Szenarien können Informationen auf mitgebrachten Geräten in die Hände des Landes geraten, der VPN-Zugang zur UZH kompromittiert und somit Zugang zu unserem Netzwerk erhalten, Hardware mit Abhör- und Ortungssoftware ausgestattet, Passwörter abgezogen oder die Laptops für Wochen konfisziert werden.
Was dabei helfen kann:
Auch bei Niedrigem Risiko:
- Keine Informationen mitnehmen, die nicht unbedingt notwendig sind und gebraucht werden.
Ab einem mittleren Risiko:
- Von Anfang an weder VPN konfiguriert haben noch Informationen mitnehmen (auch verschlüsselt, auch keine KeePass-Files, keine Passwörter im Browser hinterlegen usw.), welche nicht in die Hände des betreffenden Landes fallen dürfen.
- Wichtige (sensitive) Informationen, die unbedingt mitgenommen werden müssen, können so verschlüsselt werden, dass beim Herausgabezwang zwar ein Passwort ausgehändigt wird, mit diesem aber nur vermeintlich wichtige Daten offengelegt werden. Die tatsächlich relevanten Daten, können mit einem zweiten Passwort auf eine Weise verschlüsselt werden, dass deren Vorhandensein nicht bewiesen werden kann. Einige Verschlüsselungs-Softwares lassen dies zu.
>
Daten entschlüsseln
Was dabei geschehen kann:
- Passwörter werden abgezogen.
- Gewisse Länder haben die technischen Möglichkeiten, Laptopverschlüsselungen oder verschlüsselte Daten zu entschlüsseln.
- Hardware wird mit Abhör- und Ortungssoftware ausgestattet.
Was dabei helfen kann:
Ab einem mittleren Risiko:
- Einen speziell aufgesetzten Laptop mitnehmen, den Laptop direkt nach der Flughafenpassage komplett neu aufsetzen und nach der Rückkehr den Laptop ebenfalls komplett neu aufsetzen, bevor er wieder ans interne Netzwerk angeschlossen wird.
- Die wichtigen Daten separat in die UZH übermitteln/transferieren.
>
Ortung der Technik
Was dabei geschehen kann:
- Am Flughafen werden Passinformationen und technische Erkennungsmerkmale (MAC-Adresse Laptop, IMEI und IMSI des angeschalteten Handys) miteinander verlinkt. (Dabei kann die Kennung des Laptops durch das Flughafen-WLAN und die Kennungen von Handy und SIM-Karte mit einem IMSI/IMEI-Catcher ermittelt werden.)
- Damit wird der Benutzer des Laptops oder des Handys im betreffenden Land immer identifiziert oder dessen Aufenthaltsort bestimmt werden können.
- Wenn der Telekom-Anbieter unter der Kontrolle des Staates ist, können Handys vom Telekom-Anbieter gehackt, abgehört und geortet werden. Dies funktioniert danach ebenso nach Verlassen des Landes und im eigenen Heimatland weiter.
Was dabei helfen kann:
Auch bei Niedrigem Risiko:
- Im Ausland auf plötzliche Fehler oder Abstürze der Geräte achten. Die erzwungene Installation von Überwachungssoftware führt oft zu Fehlermeldungen oder Abstürzen.
Ab einem mittleren Risiko:
- Nicht das eigene Handy mitnehmen und das Haupthandy am Flughafen gut verstaut und abgeschaltet transportieren.
Ab einem hohen Risiko:
- Am Flughafen selbst ein einfaches Zweithandy angestellt haben (kein aktives Handy ist auffällig und kann dazu führen, dass das Einschalten eines Handys erzwungen wird).
- Das Zweithandy im Land angeschaltet lassen, aber auf entsprechend relevante Ausflüge nicht mitnehmen. Dafür des Haupthandy benutzen und alle Ortungsmöglichkeiten der Apps deaktivieren.
- Relevante Daten und Kommunikationen nicht mit dem Handy ausführen und das Handy nach der Heimkehr komplett zurücksetzen/neu installieren. Dies gilt auch für das Zweithandy.