BYOD (Bring Your Own Device)

BYOD umfasst ein breites Spektrum. Am einen Ende liest ein Mitarbeitender die dienstliche E-Mail auf dem privaten Smartphone, am anderen Ende wird die gesamte Arbeit auf einem privaten Heimcomputer erledigt. Alle Varianten haben eines gemeinsam: Das Gerät gehört dem Mitarbeitenden, daher beruht die Gewalt der Organisation darüber auf Verträgen und Richtlinien und nicht auf administrativer Kontrolle.

Der häufigste Fall ist ein privates Smartphone, auf dem dienstliche E-Mails, Messenger und Dokumente neben Familienfotos und privaten Konten liegen. Der schwierigste ist ein Heimcomputer, dessen Betriebssystem, Patches und installierte Software außerhalb der Reichweite der IT liegen. Tablets und Zweitgeräte, die zum Lesen, auf Reisen und im Bereitschaftsdienst genutzt werden, fehlen in den Richtlinien oft ganz, und nicht verwaltete Werkzeuge, die diese Lücke füllen, sind eine Form von Schatten-IT.

Viele Organisationen erlauben private Geräte nur teilweise: E-Mail und Kalender auf dem privaten Telefon, aber kein Weg zu den Produktivdaten. Wo diese Grenze verläuft, ist eine Richtlinienentscheidung, die meist über Zugriffsregeln und nicht über Vertrauen durchgesetzt wird.

Die Risiken ergeben sich unmittelbar aus dem Eigentum. Sobald Daten den verwalteten Bereich verlassen, versagen Kontrollen, die auf der Verwaltung des Endgeräts beruhen.

Verlust wiegt am schwersten. Ein unverschlüsseltes Telefon mit synchronisiertem Postfach kann aus einem verlorenen Gerät eine Datenpanne machen, die nach den Regeln zur Meldepflicht gemeldet werden muss.

BYOD wirkt in beide Richtungen. Die Organisation kann das Gerät nicht vollständig kontrollieren, und Beschäftigte fürchten das Gegenteil: ein Arbeitgeber-Werkzeug auf einem Telefon, das auch ihr Privatleben enthält. Die Überwachung eines privaten Geräts erfasst Familienfotos, private Nachrichten und Standortdaten, weshalb eine flächendeckende Überwachung von BYOD-Hardware in vielen Rechtsordnungen eingeschränkt ist. Nach der DSGVO muss die Überwachung verhältnismäßig und transparent sein. In mehreren europäischen Ländern, etwa in Deutschland, müssen Betriebsräte solche Systeme vor der Einführung zustimmen.

Die praktische Lösung ist die Trennung. Ein verwalteter Arbeitscontainer oder ein Arbeitsprofil enthält dienstliche Mails, Dateien und Anwendungen, und die Kontrolle der Organisation endet an dieser Grenze. Der private Bereich bleibt privat, und eine Fernlöschung, wenn überhaupt vereinbart, beschränkt sich auf den Container. Werkzeuge wie User Activity Monitoring gehören nur auf Geräte der Organisation, und ihr Zweck ist vor dem Einsatz schriftlich festzuhalten.

BYOD ist ein Punkt auf einem Eigentumsspektrum, und viele Organisationen wechseln nach dem ersten BYOD-Vorfall zu einer Zwischenlösung. Die Modelle unterscheiden sich darin, wer das Gerät kauft, wer die Kontrolllast trägt und wo die Datenschutzgrenze liegt.

Ausgereifte Programme verbinden Richtlinien mit technischen Schichten, die im Verhältnis zu dem angewendet werden, worauf das Gerät zugreifen darf:

• Richtlinie zur akzeptablen Nutzung: worauf ein privates Gerät zugreifen darf, welche Basisschutzmaßnahmen wie Bildschirmsperre und Verschlüsselung Pflicht sind und was beim Ausscheiden passiert.
• MDM und MAM: Mobile Device Management erzwingt Basissicherheit auf registrierten Geräten, während Mobile Application Management nur die Arbeits-Apps umschließt.
• Container und Arbeitsprofile: ein getrennter Arbeitsbereich enthält Unternehmensdaten, ist getrennt vom privaten Inhalt verschlüsselt und kann gelöscht werden, ohne ihn zu berühren.
• Bedingter Zugriff: Unternehmensdienste lassen ein Gerät nur zu, wenn es registriert, verschlüsselt und gepatcht ist.
• Gerätekontrolle am Endgerät: auf Firmen-Arbeitsplätzen entscheiden Regeln, was geschieht, wenn ein privates Telefon oder ein USB-Stick angeschlossen wird: Protokollierung, Positivliste, nur Lesezugriff oder Sperre. Siehe USB-Gerätekontrolle.

Anexet deckt die Unternehmensseite des Berührungspunkts ab. Agenten laufen auf den Rechnern der Organisation, und Endpoint-DLP prüft den Inhalt auf diesen Geräten, unabhängig vom Ziel. Das private Gerät selbst bleibt außerhalb des Produkts, wie die Tabelle zeigt.

Wird ein privates Telefon oder USB-Stick an einen Firmen-Arbeitsplatz angeschlossen, entscheiden die Regeln der Gerätekontrolle, was passiert. Das erste Bild zeigt, wie Geräteprüfung, Speicherzugriff und inhaltsbasierte Schreibprüfung für ein Agentenprofil aktiviert werden. Das zweite zeigt, was die Konsole für einen einzelnen Rechner auflistet.

1 / 2

• 
• 

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, dann mit den Kanälen, die tatsächlich genutzt werden, einschließlich Wechselmedien und der privaten Geräte, die an Firmenrechner angeschlossen werden. Richtlinien, die auf einmal für alle Geräte gelten, blockieren am Ende die Arbeit und werden abgeschaltet.

Ein BYOD-Programm funktioniert, wenn die Organisation sagen kann, welches Gerät welche Daten enthält. Halten Sie das schriftlich fest, bevor Sie Werkzeuge wählen, und gleichen Sie es in regelmäßigen Abständen mit dem Geräteinventar ab.

Weiterlesen: Informationssicherheit im Büro; Wie man unbefugten Zugriff auf den Computer verhindert.