Risiko BYOD
Wie man Smartphones sicher und DSGVO-konform nutzt
Fortsetzung des Artikels von Teil 1
Mobile Device Management als Basis für eine sichere Nutzung
Experten differenzieren im Hinblick auf die berufliche Nutzung von Smartphones zwischen folgenden Ansätzen:
- Bring Your Own Device (BYOD): Mitarbeiter nutzen ihre privaten Smartphones auch beruflich.
- Corporate Owned, Business Only (COBO): Firmenhandys, die ausschließlich beruflich genutzt werden.
- Corporate Owned, Personally Enabled (COPE): Firmenhandys, die privat und beruflich genutzt werden.
Bei BYOD können Unternehmen eine sichere und DSGVO-konforme Nutzung der Smartphones kaum gewährleisten. Allein die Tatsache, dass ein Mitarbeiter WhatsApp auf seinem privaten Smartphone nutzt, kann einen DSGVO-Verstoß bedeuten, den letztlich das Unternehmen zu vertreten hat, wenn es die berufliche Nutzung duldet und erlaubt.
Bei COBO stellt das Unternehmen die Geräte und toleriert ausschließlich deren berufliche Nutzung. Mitarbeiter müssen dann zwei Geräte mit sich herumtragen. Experten beobachten hier häufig das Phänomen “Dark BYOD“. Darunter versteht man den unkontrollierten und entsprechend unsicheren Einsatz von Privatgeräten im Unternehmen ohne Kenntnis der IT. Mitarbeiter gehen dazu über, das private Smartphone beruflich einzusetzen, weil es bequemer und einfacher ist.
Bei COPE beschafft das Unternehmen das Gerät und stellt es auch zur privaten Nutzung zur Verfügung. Die Geräte werden von der IT administriert; meist mithilfe einer Mobile Device Management Software (MDM). Ein MDM erlaubt die Einrichtung eines gesicherten Arbeitsbereiches (Workspaces) und eines privaten Nutzungsbereiches auf einem Gerät. Beide Bereiche sind strikt voneinander getrennt. Auf den privaten Bereich hat das Unternehmen DSGVO-konform keinen Zugriff. Für den Workspace lassen sich allerdings sicherheitsrelevante Nutzungsvorschriften festlegen. Beispielsweise kann die Einhaltung von Passwortrichtlinien erzwungen werden. Auch automatisierte Updates oder Sicherheitspatches können veranlasst werden, um Sicherheitslücken zu schließen. Da die Unternehmens-IT in der Lage ist, durch das MDM sichere Nutzungsprofile anzulegen und notfalls auf die Smartphones beziehungsweise den Workspace zuzugreifen, gilt diese Nutzungsversion als sehr sicher.
Enrollment-Lösungen machen Smartphones sicherer
Damit die IT die Smartphones sicher verwalten und konfigurieren kann, müssen die Geräte mit dem MDM verbunden werden. Der sicherste und einfachste Weg hierfür ist eine professionelle Enrollement-Lösung, die von Apple, Google oder Samsung angeboten werden.
Bei Apple nutzt man das Device Enrollment Programm (DEP); bei Android-Smartphones die Endpunktverwaltung von Google. Samsung bietet eine eigene Lösung namens Knox an. Die Lösungen unterscheiden sich in der Praxis wenig und unterstützen IT-Abteilungen dabei, Smartphones an die Unternehmens-IT anzubinden. Der Vorteil einer Enrollment-Lösungen verdeutlicht folgendes Beispiel: Geräte, die über ein Enrollment-Programm einem MDM zugeordnet wurden, können ohne Autorisierung nicht privat genutzt werden. Damit ist das Gerät fest an das Unternehmen gekoppelt. Die Geschäftsdaten im Workspace sind zudem per Fernzugriff von der IT löschbar.
Die meisten großen internationalen Konzerne arbeiten bereits mit einem MDM oder Enrollment. Nachholbedarf besteht jedoch noch im Mittelstand. Hier ist das Bewusstsein noch nicht angekommen, welche fatalen Sicherheitsrisiken und Datenschutzprobleme die private und berufliche Mischnutzung von Smartphones birgt und dass Mobile Device Management und professionelle Anbindung der Smartphones an die Unternehmens-IT heute keine Kür, sondern Pflicht sind.
Nicht auf Kosten der Sicherheit sparen
Viele Unternehmen setzen daher auf die vermeintlich kostengünstige BYOD-Variante und verdrängen, dass enorme Schäden und Strafen drohen können. Auf Kosten der Sicherheit zu sparen, ist in einer zunehmend von Cyberkriminalität geprägten Zeit enorm riskant.
Die sichere Verwendung von Smartphones im beruflichen Kontext ist heute nicht mehr kompliziert und muss nicht teuer sein. Auch Unternehmen mit wenigen Ressourcen in der IT oder geringen Budgets für Arbeitsgeräte können diese Aufgaben bewältigen, indem sie Firmenhandys beispielsweise mieten. Oft zu Komplettpreisen, die bereits Versicherung, MDM und professionelles Enrollment beinhalten. Gerade kleinere und mittlere Unternehmen profitieren von solchen Komplettlösungen. Ein Modell, das sich im Geschäftswagenbereich bereits etabliert hat und zunehmend auch im Mobile-Device-Bereich Fuß fasst. Neben den großen Telekommunikationsanbietern finden sich im Markt auch mittelständische Dienstleister, die flexibel auf die Belange der Unternehmen und Belegschaft eingehen können.
Zum Schutz der Privatsphäre und geschäftlichen Daten sowie zur Einhaltung der DSGVO sind ein MDM und professionelle Enrollment-Lösungen empfehlenswert, wenn nicht sogar unverzichtbar. Der überhandnehmenden Cyberkriminalität müssen wirksame Strategien und verantwortungsvolles Handeln entgegengesetzt werden.
Michel Anders ist IT-Spezialist, Blogger und Mobile Device Manager bei Everphone.
- Wie man Smartphones sicher und DSGVO-konform nutzt
- Mobile Device Management als Basis für eine sichere Nutzung
Lesen Sie mehr zum Thema
