Wie sicher ist Ihr Mobilfunkanbieter?

Es ist 2016 und du hast ein Handy. Wahrscheinlich bezahlen Sie Ihre Handyrechnung auch online oder über eine App. Telekommunikationsunternehmen kümmern sich um die weltweite Kommunikation, und ein Teil dessen, was dazu gehört, ist die Sicherung dieser Kommunikation, um ihren Kunden Privatsphäre und Integrität zu gewährleisten. Hier bei UpGuard haben wir zehn der großen Telekommunikationsunternehmen mit unserem externen Risikobewerter gescannt, um zu sehen, wie ihre Web- und E-Mail-Sicherheit abschneidet. Dies sind große Geldunternehmen mit vielen beweglichen Teilen, aber wir konzentrieren uns auf die primäre Webpräsenz, die eine Person in Betracht ziehen würde, zum Beispiel www.att.com. Es stellt sich heraus, dass es einige gute und einige schlechte Nachrichten gibt... je nachdem, welchen Träger Sie verwenden.

Die durchschnittliche Punktzahl für die zehn Unternehmen, die wir gescannt haben, lag bei 533 von 950 Punkten. Wir messen Dinge wie SSL-Stärke, E-Mail-Verifizierungsmechanismen, SPF und DMARC, die Historie von Sicherheitsverletzungen und CEO-/Unternehmensbewertungen, um die allgemeine externe Widerstandsfähigkeit eines Unternehmens zu bestimmen und dies in einem einzigen Score namens CSTAR auszudrücken, ähnlich wie bei einer Kreditwürdigkeit. Für viele mit niedrigen Bewertungen wie Verizon, NTT und CenturyLink hat das Fehlen von SSL, das auf der gesamten Website verfügbar ist, dazu geführt, dass ihre Hauptwebpräsenz für unverschlüsselten Datenverkehr offen ist. Höhere Bewertungen, wie z. B. Sprint, AT&T oder Telstra aus Australien, sind das Ergebnis einer Kombination verschiedener Sicherheitspraktiken, die wir bei jedem Unternehmen im Detail untersuchen werden. Klicken Sie auf eines der CSTAR-Bilder, um selbst einen Live-Scan auf der Website durchzuführen.

Aufschlüsselung der Website

AT&T - www.att.com - 689 von 950

AT&T ist gemessen am Umsatz das größte Telekommunikationsunternehmen der Welt und beschäftigt weltweit fast 250.000 Mitarbeiter. Die Punktzahl von 689 liegt im durchschnittlichen Bereich, liegt aber am oberen Ende der Gruppe, die wir gescannt haben. Zunächst und vor allem verwendet AT&T SSL für die gesamte Website, wodurch der Anteil der Website an der Punktzahl ziemlich hoch bleibt. AT&T hat seine Cookies noch nicht gesichert und den SPF für E-Mails nicht aktiviert, was dringend empfohlen wird. Schließlich sollte es DNSSEC ermöglichen, um Schutz vor DNS-Spoofing zu gewährleisten. Nichtsdestotrotz ist AT&T für ein Telekommunikationsunternehmen relativ sicher, und die Zustimmungsrate von 73 % des CEO ist zwar nicht herausragend, verhindert aber, dass der geschäftliche Teil der Punktzahl sinkt. AT&T hat natürlich in der Vergangenheit Sicherheitsverletzungen erlitten, vor allem im Jahr 2015, als Mitarbeiter in einigen AT&T-Callcentern unbefugt auf Kundeninformationen zugriffen und diese an Dritte verkauften, wodurch rund 280.000 Datensätze kompromittiert wurden und AT&T 25 Millionen US-Dollar für Datenschutzverletzungen kostete. Der Schutz vor internen Sicherheitsverletzungen ist ein Thema für einen anderen Artikel, aber die externe Sicherheit von AT&T war daran nicht schuld.

Fazit: AT&T verfügt über die meisten grundlegenden Sicherheitsmaßnahmen, aber es gibt noch Raum für Verbesserungen.

Sprint - www.sprint.com - 731 von 950

Sprint ist das viertgrößte drahtlose Netzwerk in Amerika und hat die beste Punktzahl aller von uns gescannten Telekommunikationsseiten. Mit 731 von 950 Punkten war Sprint der einzige Anbieter, der im guten Bereich der Punktzahlen lag. Wie bei AT&T beginnt alles mit einer guten, websiteweiten SSL-Konfiguration. Im Gegensatz zu AT&T hat Sprint jedoch SPF für seine E-Mail-Domain eingerichtet, die zum Schutz vor gefälschten E-Mails beiträgt. Die Historie von Sicherheitsverletzungen bei Sprint ist vergleichsweise gering, da sich bereits im Jahr 2010 ein Insider-Vorfall ereignete.

Fazit: Sprint hat die beste Gesamtbewertung und eine der besten Sicherheitshistorien der von uns untersuchten Unternehmen. Wie AT&T könnte es die Dinge noch weiter verschärfen, indem es Cookies sichert und DNSSEC verwendet.

Verizon - www.verizon.com - 386 von 950

Verizon ist ein weiterer wichtiger Akteur in der Telekommunikationsbranche und bietet Millionen von Menschen drahtlose Telefondienste und Breitband an. Darüber hinaus hat Verizon seine Hände im Bereich der Sicherheit und veröffentlicht den jährlichen Verizon Data Breach Incident Report (DBIR). Ironischerweise hat Verizon mit 386 unseren zweitniedrigsten Wert, was sie direkt in die Warnkategorie einordnet. Wichtig zu beachten ist, wie die Punktzahl verteilt wird. Der Kommunikationswert von Verizon (E-Mail- und DNS-Sicherheit) ist mit 922 recht hoch, aber der Website-Score liegt bei miserablen 282. Wie kam es dazu? Ganz einfach: Verizon fehlt das Site-weite SSL. Das bedeutet, dass Seiten ohne SSL-Verschlüsselung geladen werden können, und wenn diese Seiten Formulare enthalten, werden die darin eingegebenen Daten (Benutzernamen, Passwörter, Kreditkartennummern - was auch immer) im Klartext über das Internet übertragen. Der Umsatz von Verizon betrug 2015 rund 130 Milliarden US-Dollar, mehr als das BIP vieler Länder. Die Implementierung von SSL und anderen Sicherheitsmaßnahmen auf der Hauptwebseite auf der gesamten Website scheint eine bescheidene Investition für die Vorteile zu sein, die sie bietet. Dies sollte angesichts der potenziell großen Datenschutzverletzung, die Verizon Anfang des Jahres bekannt gab, nachdem eineinhalb Millionen Kundendatensätze im Dark Web zum Verkauf angeboten wurden, selbstverständlich sein. Und im Gegensatz zu den von uns erwähnten AT&T- und Sprint-Verstößen ist dieser auf eine Sicherheitslücke auf der Website von Verizon zurückzuführen.

Fazit: Wenn Verizon sein SSL reparieren würde, wäre seine Punktzahl wahrscheinlich höher als die von Sprint. Wenn Sie jedoch die Website von Verizon verwenden, überprüfen Sie bis dahin das Vorhängeschloss in Ihrem Browser, um sicherzustellen, dass Ihre Verbindung verschlüsselt ist, bevor Sie vertrauliche Daten senden oder empfangen.

T-Mobile (Deutsche Telekom) - www.t-mobile.com - 522 von 950

T-Mobile ist der englische Freundschaftsname der Deutschen Telekom, einem deutschen Telekommunikationsunternehmen, das von Bonn aus operiert. Obwohl ein Großteil des Geschäfts in Europa angesiedelt ist, verfügt das Unternehmen mit über 65 Millionen Kunden auch über das drittgrößte Mobilfunknetz in Amerika. T-Mobile erreichte eine mittelmäßige Punktzahl von 522, was vor allem darauf zurückzuführen ist, dass auch auf der gesamten Website SSL fehlt. SSL ist die grundlegendste Form der Internetsicherheit. Es ist das, was Daten zwischen dem Client und dem Server verschlüsselt und sie für Dritte unzugänglich macht. Es ist ziemlich einfach und billig zu implementieren, und die Vorteile, die es bietet, sind vielfältig. Das mag bekannt klingen, aber T-Mobile erlitt Ende 2015 im Rahmen des Experian-Hacks eine Datenschutzverletzung, von der über 15 Millionen Kunden betroffen waren. Dies war ein Beispiel für eine Sicherheitsverletzung durch Dritte, bei der die Sicherheit eines vertrauenswürdigen Partners oder Anbieters gefährdet ist, was zur Verletzung sensibler Daten führt, die dem primären Unternehmen gehören.

Fazit: Wie Verizon muss auch T-Mobile seine SSL-Situation so schnell wie möglich klären. Das Verlangen nach verschlüsselten Verbindungen sollte auf breiter Front Standard sein. Bis dahin liegt die Last bei den Kunden, bei der Übermittlung wichtiger Informationen Vorsicht walten zu lassen.

CenturyLink - www.centurylink.com - 347 von 950

Centurylink ist ein amerikanisches Festnetz- und Breitbandunternehmen, das nach AT&T und Verizon das drittgrößte ist. Es erzielte auch die niedrigste Punktzahl der von uns untersuchten Unternehmen mit 347. Der andere Standort, centurylink.net, war mit 482 Punkten ungefähr gleich. Das Fehlen von SSL und SPF senkt die Website- und Kommunikationsbewertungen von CenturyLink, während die Zustimmungsrate des CEO von 60 % und die schlechte Gesamtbewertung des Unternehmens durch die Mitarbeiter ebenfalls die Geschäftsbewertung senkt. Der Grund, warum wir diese Bewertungen in das externe Sicherheitsprofil eines Unternehmens einbeziehen, ist, dass die Wahrscheinlichkeit einer internen Sicherheitsverletzung umso höher ist, je unzufriedener die Mitarbeiter mit ihrem Unternehmen sind.

Fazit: Sieht nicht gut aus für CenturyLink, das in jeder Kategorie Probleme hat. Es muss seine externe Widerstandsfähigkeit neu bewerten und gemeinsame Sicherheitsmechanismen einsetzen, um seine Website zu verbessern.

Frontier - www.frontier.com - 587 von 950

Wie CenturyLink ist Frontier auf dem Breitband-/Festnetzmarkt tätig. Im Gegensatz zu CenturyLink ist die Punktzahl mit 587 durchschnittlich, mit starken Kommunikations- und Geschäftsbereichen. Das Interessante an der Punktzahl von Frontier ist, dass zwar SSL auf der gesamten Website aktiviert ist, aber kaum andere Sicherheitsmaßnahmen vorhanden sind, wie z. B. das Sichern von Cookies oder das Verstecken von Kopfzeilen. Zumindest ist die Kommunikation auf der Website von Frontier korrekt verschlüsselt und es wird SPF für E-Mails verwendet. Obwohl Festnetzbetreiber wie Frontier und CenturyLink ein geringeres Sicherheitsrisiko darstellen als Mobilfunkbetreiber, ist die Realität, dass sie alle über sensible Kundeninformationen verfügen und sich um diese kümmern müssen.

Fazit: Frontier liegt im Mittelfeld, mit anständiger Sicherheit und viel Raum zum Wachsen, aber es verfügt über SSL, sodass Sie wissen, dass Ihre Übertragungen verschlüsselt sind.

Vodafone - www.vodafone.co.uk - 527 von 950

Wir haben uns auch vier Telekommunikationsanbieter außerhalb der USA angesehen, beginnend mit dem englischen Vodafone. Vodafone ist nach China Mobile der zweitgrößte Mobilfunkanbieter der Welt und beschäftigt weltweit über 100.000 Mitarbeiter. Während die Gesamtpunktzahl bei durchschnittlich 527 lag, lag der Website-Anteil bei gefährlich niedrigen 296. Wenn Sie vermutet haben, dass Vodafone kein Sitewide SSL hat, ist das gut für Sie, denn das Fehlen von SSL kam sie teuer zu stehen. Es gibt einen alten Glauben, dass nur bestimmte Seiten oder Formulare verschlüsselt werden müssen und dass der Rest der Website unverschlüsselt bereitgestellt werden sollte. Das Problem bei dieser Denkweise besteht darin, dass das Wechseln zwischen SSL- und Nicht-SSL-Verbindungen die Last der ordnungsgemäßen SSL-Verwaltung auf die IT abwälzt. Wann immer eine neue Seite online geht, muss jemand sicherstellen, dass sie sich im "SSL-Bereich" der Website befindet, wenn sie vertrauliche Informationen enthält. Angesichts der Art und Weise, wie sich Konfigurationen ändern und Systeme und Personen im Laufe der Zeit ausgetauscht werden, ist es leicht zu erkennen, wie es zu einem Versehen kommen kann. Und viele tun dies, einige führen zum Abfangen von Anmeldeinformationen, personenbezogenen Daten (PII) oder Kreditkarteninformationen durch böswillige Dritte. Vodafone machte Ende 2015 Schlagzeilen, als eine Datenschutzverletzung die finanziellen Daten von über 2.000 Kunden kompromittierte.

Fazit: Kein Site-weites SSL bedeutet eine große Delle in der Punktzahl. Die starke Kommunikationssicherheit und das Geschäftsprofil von Vodafone tragen dazu bei, die Gesamtbewertung durchschnittlich zu halten, aber die Website benötigt etwas Aufmerksamkeit.

Telstra - www.telstra.com.au - 680 von 950

Telstra ist Australiens größtes Telekommunikationsunternehmen und bietet Dienstleistungen in verschiedenen Bereichen an, darunter Festnetz, Mobilfunk, Breitband und Fernsehen. Mit der dritthöchsten Punktzahl, knapp hinter AT&T, hat Telstra einige großartige Sicherheitsmaßnahmen getroffen. Mit einer Punktzahl von 826 liegt es weit über den meisten anderen Unternehmen, die wir in diesem Abschnitt gescannt haben. Die SSL-Implementierung von Telstra ist gründlich und gut konfiguriert. Was die Punktzahl nach unten drückt, ist das Fehlen von SPF und DMARC für ihre E-Mails. Es gibt Mechanismen wie SPF, DKIM und DMARC, um Spoofing-Versuche zu bekämpfen, egal ob es sich um (Spear-)Phishing-Angriffe oder Malware-Lieferungen handelt. Sie bestätigen, dass die E-Mail von der Person stammt, von der sie angeblich stammt. Das Fehlen dieser Maßnahmen macht es viel einfacher, Mitarbeiter und Kunden per E-Mail auszubeuten.

Fazit: Die Website von Telstra ist nahezu perfekt, aber sie benötigt einige Sicherheitsmechanismen rund um ihre E-Mail-Domain, um sich vor Angriffen aus diesem Vektor zu schützen. Insgesamt ist Telstra überdurchschnittlich gut, obwohl es weniger Umsatz hat als viele seiner Konkurrenten mit niedrigeren Bewertungen.

China Mobile - www.chinamobileltd.com - 475 von 950

China Mobile ist der größte Mobilfunkanbieter der Welt. Es ist im Besitz des Staates, was zumindest den Mittelsmann zwischen privater Kommunikation und staatlicher Überwachung im Inland ausschaltet. Der Umsatz von China Mobile ist enorm, der Kundenstamm ist riesig und die externe Sicherheit ist sehr schlecht. Mit einer Punktzahl von 475 fällt es in die Warnkategorie, wobei nur die Geschäftsbewertung es überhaupt aufrechterhält. Es gibt kein SSL, kein SPF, kein DMARC, kein DNSSEC. Ihre Website- und Kommunikationsbewertungen erleiden große Einbußen, weil diese grundlegenden Protokolle fehlen. China Mobile betreibt auch ein Kundenportal bei hk.chinamobile.com, aber diese Website wurde mit 389 noch schlechter bewertet. Es gibt SSL auf einigen Teilen der Website, aber Nicht-SSL-Elemente innerhalb der Seite und reguläre HTTP-Seiten machen die Website zu einem Mischmasch aus verschlüsselten und unverschlüsselten Elementen, was immer schließlich in Schwachstellen endet.

Fazit: Schlechte Sicherheit rundum, an mehreren Standorten. China Mobile sollte seine SSL-Richtlinie überdenken und sichere E-Mail-Protokolle implementieren.

NTT (Nippon Telegraph & Telephone) - www.ntt.co.jp - 390 von 950

Das japanische Unternehmen NTT ist der drittgrößte Mobilfunkanbieter der Welt und beschäftigt fast 250.000 Mitarbeiter. Wie bei China Mobile ist das externe Sicherheitsprofil recht schwach, mit einem gefährlichen Kommunikationswert von 226, wobei es fast keine Verifizierungsmechanismen gibt. Die Website-Bewertung von NTT spiegelt einen Mangel an SSL und einer ordnungsgemäßen Verteidigungskonfiguration wider, was gefährlich ist, da NTT ein Kundenportal direkt über diese Domain bereitstellt. Es verheißt nichts Gutes, dass Kommunikationsgiganten wie NTT und China Mobile der Cybersicherheit keine Priorität einräumen. Die Art ihres Geschäfts macht sie zu einer Vorreiterin der Informationsverteidigung, und wenn sie nicht vorbereitet sind, sind es ihre Kunden, die den Preis dafür zahlen.

Fazit: NTT muss seine Cybersicherheitsstrategie neu bewerten und Maßnahmen ergreifen, um die externe Widerstandsfähigkeit zu verbessern.

Zusammenfassung

Bei der Menge an Informationen, mit denen Telekommunikationsunternehmen umgehen, sollte die Sicherheit eine ihrer obersten Prioritäten sein. Die Daten zeigen jedoch einen relativ laxen Sicherheitsansatz der meisten Anbieter, wobei einige überhaupt keinen angemessenen Schutz bieten. Es ist keine Überraschung, dass Datenschutzverletzungen zunehmen, da ausgeklügelte Cyberangriffe zunehmen und ihre Ziele nicht gleichermaßen reagieren. Zumindest sollte von Unternehmen erwartet werden, dass sie ihren Kunden auf der gesamten Website SSL zur Verfügung stellen, und wenn sie dies nicht tun, warum nicht? Die Gewohnheit der Sicherheit muss geübt werden, um effektiv zu bleiben. Die Angriffe werden sich ändern und mit ihnen die notwendigen Verteidigungen. Im Internetzeitalter Geschäfte zu machen bedeutet, sich mit den Risiken des Internetzeitalters auseinanderzusetzen. Wenn der Schutz vor diesen Risiken nicht gewährleistet ist, laufen sowohl Unternehmen als auch Kunden Gefahr, kostspielige und peinliche Datenschutzverletzungen zu erleiden.

Scannen Sie jede Website mit dem externen Risiko-Grader von UpGuard, um zu sehen, wie die Sicherheit abschneidet.