- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Warum BYOD an den Geräten scheitert


Datenschutzrechtliche Auflagen verlangen die strikte Trennung von privaten und Unternehmensdaten auf den Endgeräten der Arbeitnehmer
Schon aus arbeitsrechtlichen Gründen kann BYOD nur eine Option oder Erweiterung eines mobilen Konzepts sein: Unternehmen können Mitarbeitern die Nutzung ihrer Privatgeräte für Unternehmenszwecke nicht vorschreiben

- Anzeigen -





Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

Nun, soweit die Theorie. Die BYOD-Realität sieht vor allem in deutschen Unternehmen ganz anders aus. Die Entscheidung für BYOD ist für Unternehmen äußerst weitreichend, da zahlreiche verschiedene Aspekte berücksichtigt werden müssen. In den meisten Fällen ist weniger der Effizienzgedanke ausschlaggebend für die Einführung von BYOD. Denn schon aus arbeitsrechtlichen Gründen kann BYOD nur eine Option oder Erweiterung eines mobilen Konzepts sein: Unternehmen können Mitarbeitern die Nutzung ihrer Privatgeräte für Unternehmenszwecke nicht vorschreiben. Meist kommt BYOD daher als Maßnahme in Frage, wenn es darum geht, wertvolle Mitarbeiter an das Unternehmen zu binden. Für Unternehmen ist dies keinesfalls eine einfache Lösung. Allein die Ausarbeitung eines BYOD-Konzepts stellt Unternehmen vor viele Herausforderungen, da zahlreiche Anforderungen miteinander in Einklang gebracht werden müssen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

BYOD – Kopfzerbrechen in rechtlicher und technischer Hinsicht
Vor allem die rechtliche Seite sorgt bei deutschen Unternehmen für Kopfzerbrechen. Datenschutzrechtliche Auflagen verlangen die strikte Trennung von privaten und Unternehmensdaten auf den Endgeräten der Arbeitnehmer. Es muss sichergestellt werden, dass Unternehmensdaten problemlos wiederhergestellt werden können, gleichsam sollen private Daten von jeglicher Unternehmensnutzung unbeeinträchtigt bleiben. Neben den Daten ist auch die Nutzung der Unternehmenssoftware eine entscheidende Frage: Softwareanbieter stellen unterschiedliche Bedingungen an privaten und gewerblichen Gebrauch.

Für Unternehmen bedeutet dies, sie müssen prüfen, inwieweit die Nutzung auf privaten Geräten mit ihrer erworbenen Lizenz abgedeckt ist. Auch können im Zuge dessen steuerrechtliche Fragen auftreten – etwa des geldwerten Vorteils für die Mitarbeiter oder eine Ertragssteuer für das Unternehmen – die einer Klärung bedürfen. Und schließlich müssen auch personelle interne Bestimmungen sowie Haftungsfragen gelöst werden.

Ist der rechtliche Rahmen abgesteckt, geht es an die Ausarbeitung einer geeigneten technischen Lösung, die sowohl rechtlichen als auch IT-Sicherheitsanforderungen gerecht werden kann. In der Regel können nicht sämtliche Aspekte softwareseitig von der IT-Abteilung abgebildet werden – entweder, weil es schwierig ist, dies zu verwalten oder weil durch die Verwaltungssoftware eine einfache Nutzung der Mobilgeräte der Mitarbeiter nicht mehr möglich ist. Diese Lücke wird durch das Aufstellen von Verhaltensregeln für die Nutzung geschlossen, die von den Mitarbeitern erfüllt werden müssen.

Doch auch hier lauern Stolpersteine, die genaueres Hinsehen seitens des hauseigenen Rechtsanwalts oder Betriebsrats erfordern: Nicht allen Verhaltensregeln müssen Mitarbeiter zustimmen – beispielsweise liegt ein Verbot der Nutzung des Handys im Ausland nicht in der Hand des Arbeitgebers – der Arbeitnehmer darf in solchen Fällen von seinem Mitspracherecht Gebrauch machen. Gleichsam erfordert BYOD auch ein hohes Maß an Verantwortungsbewusstsein und Unterstützung von Seiten der Arbeitnehmer.

Rechtlich kommt ihnen nämlich die Verantwortung für die Nutzung der Unternehmensdaten zu, weshalb die Bereitschaft, erhöhte Sicherheitsmaßnahmen auf ihren Geräten, wie zum Beispiel die Aktivierung der Geräte- bzw. SD-Kartenverschlüsselung, die strikte Trennung privater und geschäftlicher Daten, sowie das zuverlässige Einspielen von Softwareupdates, vorausgesetzt wird. Ein gewisses Restrisiko, dass Arbeitnehmer dennoch entgegen den von ihnen akzeptierten Auflagen handeln, bleibt für Unternehmen trotz allem gegeben.

Was bleibt also von BYOD? Ein Konzept, dass sich theoretisch äußerst innovativ und schwungvoll anhört, entpuppt sich als restriktiv und wenig hilfreich. Tatsache ist allerdings auch: Mobiles Arbeiten ist bereits Realität und auf Grund seiner Vorteile wird sich die mobile Nutzung von Unternehmensanwendungen durchsetzen.

Schatten-IT ist der Weg des geringeren Widerstands
Ein gutes Beispiel hierfür ist die Urlaubssaison: Sind Arbeitnehmer zu Beginn ihres Urlaubs noch heilfroh, dem Büro entflohen zu sein, verleitet mit fortschreitender Dauer die Möglichkeit, den Ablauf im Büro verfolgen zu können, aber dennoch nicht für die Kollegen greifbar sein zu müssen, dazu, unbemerkt einen Blick in den Alltag im Büro zu werfen. Kommt die Urlaubsvertretung mit dem schwierigen Kunden klar? Ist das Großprojekt, an dem man wochenlang mit großem Einsatz mitgearbeitet hat, zu einem erfolgreichen Abschluss gekommen? Ein Blick in die E-Mail-App genügt, und man ist vorbereitet auf alles, was bei Arbeitsbeginn wieder auf einen einstürzen könnte.

Das Plus an Kontrolle auf Arbeitnehmerseite bedeutet in der Gleichung jedoch einen Verlust für die Unternehmen: Ihnen entgeht die Kontrolle über ihre Daten. Mit Blick auf künftige Regularien, wie beispielsweise die Datenschutzgrundverordnung (DSGVO), ist eine derartige Schatten-IT kein akzeptables Szenario. Es sind zwei Dinge, die aufeinandertreffen: Nutzer, die sich der Konsequenz ihrer Gerätenutzung für ihre Daten nicht bewusst sind. Auf der anderen Seite die IT-Abteilung, die dazu angehalten ist, mittels der Sicherung der Privatgeräte die Unternehmensdaten zu schützen.

Werden beide Dinge nicht miteinander vereinbart, bleibt stets eine suboptimale Lösung zurück: Die Möglichkeit, dass sich ein Mitarbeiter doch über ein ungesichertes Privatgerät Zugang zu Unternehmensdaten verschafft hat. Unternehmen helfen sich daher meist folgendermaßen: Um BYOD umsetzen zu können, kommt MDM-Software zum Einsatz, die in der Regel vorwiegend für unternehmenseigene Geräte konzipiert ist. Diese stellt sicher, dass alle Sicherheitsauflagen erfüllt werden, Updates rechtzeitig eingespielt, unsichere WLAN-Verbindungen abgelehnt und andere Apps keinerlei Zugriff auf Unternehmensdaten haben können. Dies geht jedoch häufig zu Lasten der Nutzerfahrung und stellt auch ein Risiko für die Privatsphäre der Nutzer dar. Das Ergebnis ist meist folgendes: Mitarbeiter lehnen die Nutzung derartiger Managed Devices ab, was wiederum zu Lasten der Workflows und auch der Sicherheit geht.

Die Zeit der Geräte ist vorüber
Die Sicherung von Geräten und den darauf befindlichen Inhalten ist historisch gewachsen und einleuchtend, wirft man einen Blick auf die Entwicklung der IT in den vergangenen Jahrzehnten. Künftig liegt das Augenmerk jedoch mehr auf den Daten. Diese Entwicklung zeigt sich unter anderem auch an den neuen gesetzlichen Richtlinien. Für Unternehmen ist es daher an der Zeit, künftig auch von der technischen Seite aus an die Daten zu denken sowie das Bewusstsein ihrer Mitarbeiter für deren Sensibilität zu schärfen. Die Zeit, in der die Sicherung von Geräten auch mit Datensicherheit gleichzusetzen war, läuft langsam ab. (Bitglass: ra)

eingetragen: 01.10.17
Home & Newsletterlauf: 13.10.17


Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.

  • Detailliertes Profil der Angreifer entscheidend

    "Kill Chain" - dieser Begriff stammt eigentlich aus dem Militärjargon und bezeichnet ein Modell, das alle Phasen eines Angriffs beschreibt. Im Umkehrschluss zeigt es Wege auf, mit denen sich diese Angriffe vermeiden oder zumindest abschwächen lassen - eine Taktik, die auch hinsichtlich digitaler Bedrohungen und Hackangriffe interessant ist. Die Kill Chain digitaler Bedrohungen lässt sich in sieben verschiedene Phasen unterteilen.

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."