Dritte könnten Zugang zu der ID und dem PW des Mitarbeitenden erhalten; spez. bei Mitarbeitenden mit Admin-Zugang ggf. kritisch.

Mitarbeitende meldet sich in einem öffentlich Ort an und ist bei der Eingabe unachtsam; Mitarbeitende können das private Endgerät verlieren oder ausser Acht lassen; es besteht die Gefahr, dass Malware die Eingabe des Passworts mitschneidet und weiterleitet.

Die Eingabe des SSO Passworts auf Endgeräten, die nicht vom Unternehmen kontrolliert werden, ist ein neues Thema, welches potenziell neue Bedrohungen für die Vertraulichkeit der Anmeldedaten mit sich bringt. Besonders bei Mitarbeitenden mit Admin-Zugangsrechten sind die Anmeldedaten als äusserst sensibel zu betrachten.

Verpflichtende Schulung von Mitarbeitenden zu Beginn, um diese auf den sorgsamen Umgang im öffentlichen Raum hinzuweisen - Folgeschulungen werden jährlich oder bei Bedarf angeboten; Plus Hinweis auf "Anzeige Passwort" vermeiden. Ausserdem sollten Mitarbeitende mit Admin-Zugangsrechten sich nicht über das SSO anmelden, sondern einen getrennten Zugang des Dienstleisters erhalten.

Mitarbeitende(r) verliert sein privates Smartphone

Dritte erhalten Zugriff auf die Inhalte der App und die darin enthaltenden Inhalte

tchop bietet sowohl den verpflichtenden Schutz über Biometric-ID als auch ein sog. "App Lock" Feature an, welches die Nutzung der App nur mit aktiviertem Zugangscode erlaubt; dieses Feature wird genutzt, um zu verhindern. Damit wird die App auf jeden Fall für das Passwort des Telefons geschützt, ein Zugriff durch Unbefugt wird wesentlich erschwert.

Als Teil der Schulung sollten Mitarbeiter auf den sorgsamen Umgang mit dem Smartphone hingewiesen werden; dazu gehört auch die dringende Empfehlung das Telefon IMMER mit einem Passwort zu schützen. Die verpflichtende Aktivierung der biometrischen Identifikation (Fingerprint oder Face-ID) schafft zudem ein gutes Sicherheitsniveau hinsichtlich des Zugangs zur App.

Dritter bekommt Zugang zum App Download

Download Link wird weitergeleitet an unbefugte Dritte

Jeder Mitarbeitende erhält an die AOK email eine Einladung mit einem Downloadlink. Dieser LInk kann nur für einen einzigen Download verwendet werden. Zusätzlich wird der Link auch als QR Code angeboten. Dieser wird auch in der Web App kommuniziert (diese ist aber nur im AOK Netzwerk verfügbar):

Die Weiterleitung dieser Email an eine private Email kann bzw. sollte unterbunden werden; ein Ablaufdatum existiert für diese Links nicht, dafür können (und sollten) diese Links nur für deutsche User verfügbar (User aus anderen Ländern, können diese Download Links nicht nutzen). Dies ist möglich in dem die App nur für Deutschland angeboten wird (ist über die App Stores steuerbar).

Mitarbeitende hat Malware auf Smartphone, Malware greift seine Zugangsdaten ab

Mitarbeitende ist auf Phishing oder andere Methoden hereingefallen

Malware auf Smartphones ist wesentlich seltener als auf klassischen PCS, da kein "Sideloading" von Software möglich ist und die App Stores einen gewissen Schutz bieten. Dennoch gibt es auch "Malware" über die App Stores (spez. den Android App Store)

Schulung von Mitarbeitenden, um diese auf den sorgsamen Umgang und die Gefahren hinzuweisen (spez. keine Apps von unbekannten Entwicklern herunterzuladen)

Dritte können Datenverkehr App/tchop <> SSO auslesen (inkl. Email, User Name oder Password)

Anmeldedaten eines bestimmten Users (oder im schlimmsten Fall von allen Usern) werden durch technische Angreifer auslesbar.

Die Verwendete SSO Lösung Open ID Connect über einen Identity Provider der Kubus ist der weltweit führende SSO Standard im Unternehmensbereich. Alleine Azure AD macht damit pro Tag einige Milliarden Logins - ohne Probleme.

Umsetzung der OIDC SSO Integration auf Basis gängiger Komponenten und genaue Einhaltung des Standards (wobei dieser ohnehin so streng ist, dass er keine Abweichung erlaubt)

Zugriff auf das Redaktions CMS

Bestimmte User bei der AOK haben Zugriff auf das Redaktions-CMS; sollten solche Zugänge kompromitiert werden, können Angreifer Zugang dazu bekommen (es liegt bei tchop in der Cloud)

Der Login wird analog der App nur durch das Kubus SSO möglich sein. Auch einzelne tchop Mitarbeiter haben Zugriff (hier ist die ISO27001 wichtig auf Seiten von tchop).. Der Zugriff ins CMS ermöglicht Zugriff auf die Inhalte, Nutzerdaten und weitere Funktionen. Aber bietet keinen weiterführenden Zugriff in irgendwelche AOK Systeme.

tchop bietet die Möglichkeit alle Zugänge über eine 2FA Lösung abzusichern. Diese sollte für alle nicht SSO Zugänge eingestellt werden.

Nutzer verwendet ein altes privates Smartphone und sein Gerät wird kompromittiert (Malware, Keylogger etc.)

Ältere Smartphones verwenden oft ältere OS-Versionen und sind daher tendenziell unsicherer.

Die App ist generell ab iOS Version 14 (heute bei 16) verfügbar. Auf älteren Smartphones lässt sich die App nicht installieren und eine Nutzung wird dadurch ausgeschlossen. Bei Android ist die Mindestversion Android 7; auch dies schliesst die Nutzung sehr alter Geräte aus.

Es ist sicherzustellen, dass über die Zeitdauer entsprechende OS-Versionen angehoben werden (jede Jahr wird eine neues Version bei iOS und Android) veröffentlicht.

Nutzer verwendet sein berufliches Smartphone und sein Gerät wird kompromittiert (Malware, Keylogger etc.)

Diese Geräte sind durch die IT kontrolliert via MDM und sind daher auf einem neuen Stand.

Die Installation von Software auf den beruflichen Endgeräten wird über das MDM genauesten kontrolliert.

Es sind die mit dem MDM verbundenen IT Sicherheitsmaßnahmen zu beachten.

Versehentliche Veröffentlichung von vertraulichen Daten oder Inhalten

Unachtsamkeit oder Böswilligkeit bei der Mitglieder Redaktion

In der App sollten vor allem interne, aber keine vertraulichen Daten bzw. Inhalte verbreitet werden; sollten doch einmal vertrauliche Daten veröffentlicht werden, müssen diese schnell bemerkt und gelöscht bzw. unveröffentlicht werden

Prozess zum Reporting und schnelle Reaktion, um entsprechende Inhalte wieder zu löschen bzw. nicht mehr verfügbar zu machen

Nutzer verwendet seinen berufliches PC und sein Gerät wird kompromittiert (Malware, Keylogger etc.)

Diese Geräte sind durch die IT kontrolliert und ist dementsprechend gesichert.

Durch die Einschränkung der Web App auf die Nutzung am betrieblichen PC, sind wenig neue Sicherheitsrisiken zu erwarten.

keine