- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Warum BYOD an den Geräten scheitert


Datenschutzrechtliche Auflagen verlangen die strikte Trennung von privaten und Unternehmensdaten auf den Endgeräten der Arbeitnehmer
Schon aus arbeitsrechtlichen Gründen kann BYOD nur eine Option oder Erweiterung eines mobilen Konzepts sein: Unternehmen können Mitarbeitern die Nutzung ihrer Privatgeräte für Unternehmenszwecke nicht vorschreiben

- Anzeigen -





Von Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

Nun, soweit die Theorie. Die BYOD-Realität sieht vor allem in deutschen Unternehmen ganz anders aus. Die Entscheidung für BYOD ist für Unternehmen äußerst weitreichend, da zahlreiche verschiedene Aspekte berücksichtigt werden müssen. In den meisten Fällen ist weniger der Effizienzgedanke ausschlaggebend für die Einführung von BYOD. Denn schon aus arbeitsrechtlichen Gründen kann BYOD nur eine Option oder Erweiterung eines mobilen Konzepts sein: Unternehmen können Mitarbeitern die Nutzung ihrer Privatgeräte für Unternehmenszwecke nicht vorschreiben. Meist kommt BYOD daher als Maßnahme in Frage, wenn es darum geht, wertvolle Mitarbeiter an das Unternehmen zu binden. Für Unternehmen ist dies keinesfalls eine einfache Lösung. Allein die Ausarbeitung eines BYOD-Konzepts stellt Unternehmen vor viele Herausforderungen, da zahlreiche Anforderungen miteinander in Einklang gebracht werden müssen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

BYOD – Kopfzerbrechen in rechtlicher und technischer Hinsicht
Vor allem die rechtliche Seite sorgt bei deutschen Unternehmen für Kopfzerbrechen. Datenschutzrechtliche Auflagen verlangen die strikte Trennung von privaten und Unternehmensdaten auf den Endgeräten der Arbeitnehmer. Es muss sichergestellt werden, dass Unternehmensdaten problemlos wiederhergestellt werden können, gleichsam sollen private Daten von jeglicher Unternehmensnutzung unbeeinträchtigt bleiben. Neben den Daten ist auch die Nutzung der Unternehmenssoftware eine entscheidende Frage: Softwareanbieter stellen unterschiedliche Bedingungen an privaten und gewerblichen Gebrauch.

Für Unternehmen bedeutet dies, sie müssen prüfen, inwieweit die Nutzung auf privaten Geräten mit ihrer erworbenen Lizenz abgedeckt ist. Auch können im Zuge dessen steuerrechtliche Fragen auftreten – etwa des geldwerten Vorteils für die Mitarbeiter oder eine Ertragssteuer für das Unternehmen – die einer Klärung bedürfen. Und schließlich müssen auch personelle interne Bestimmungen sowie Haftungsfragen gelöst werden.

Ist der rechtliche Rahmen abgesteckt, geht es an die Ausarbeitung einer geeigneten technischen Lösung, die sowohl rechtlichen als auch IT-Sicherheitsanforderungen gerecht werden kann. In der Regel können nicht sämtliche Aspekte softwareseitig von der IT-Abteilung abgebildet werden – entweder, weil es schwierig ist, dies zu verwalten oder weil durch die Verwaltungssoftware eine einfache Nutzung der Mobilgeräte der Mitarbeiter nicht mehr möglich ist. Diese Lücke wird durch das Aufstellen von Verhaltensregeln für die Nutzung geschlossen, die von den Mitarbeitern erfüllt werden müssen.

Doch auch hier lauern Stolpersteine, die genaueres Hinsehen seitens des hauseigenen Rechtsanwalts oder Betriebsrats erfordern: Nicht allen Verhaltensregeln müssen Mitarbeiter zustimmen – beispielsweise liegt ein Verbot der Nutzung des Handys im Ausland nicht in der Hand des Arbeitgebers – der Arbeitnehmer darf in solchen Fällen von seinem Mitspracherecht Gebrauch machen. Gleichsam erfordert BYOD auch ein hohes Maß an Verantwortungsbewusstsein und Unterstützung von Seiten der Arbeitnehmer.

Rechtlich kommt ihnen nämlich die Verantwortung für die Nutzung der Unternehmensdaten zu, weshalb die Bereitschaft, erhöhte Sicherheitsmaßnahmen auf ihren Geräten, wie zum Beispiel die Aktivierung der Geräte- bzw. SD-Kartenverschlüsselung, die strikte Trennung privater und geschäftlicher Daten, sowie das zuverlässige Einspielen von Softwareupdates, vorausgesetzt wird. Ein gewisses Restrisiko, dass Arbeitnehmer dennoch entgegen den von ihnen akzeptierten Auflagen handeln, bleibt für Unternehmen trotz allem gegeben.

Was bleibt also von BYOD? Ein Konzept, dass sich theoretisch äußerst innovativ und schwungvoll anhört, entpuppt sich als restriktiv und wenig hilfreich. Tatsache ist allerdings auch: Mobiles Arbeiten ist bereits Realität und auf Grund seiner Vorteile wird sich die mobile Nutzung von Unternehmensanwendungen durchsetzen.

Schatten-IT ist der Weg des geringeren Widerstands
Ein gutes Beispiel hierfür ist die Urlaubssaison: Sind Arbeitnehmer zu Beginn ihres Urlaubs noch heilfroh, dem Büro entflohen zu sein, verleitet mit fortschreitender Dauer die Möglichkeit, den Ablauf im Büro verfolgen zu können, aber dennoch nicht für die Kollegen greifbar sein zu müssen, dazu, unbemerkt einen Blick in den Alltag im Büro zu werfen. Kommt die Urlaubsvertretung mit dem schwierigen Kunden klar? Ist das Großprojekt, an dem man wochenlang mit großem Einsatz mitgearbeitet hat, zu einem erfolgreichen Abschluss gekommen? Ein Blick in die E-Mail-App genügt, und man ist vorbereitet auf alles, was bei Arbeitsbeginn wieder auf einen einstürzen könnte.

Das Plus an Kontrolle auf Arbeitnehmerseite bedeutet in der Gleichung jedoch einen Verlust für die Unternehmen: Ihnen entgeht die Kontrolle über ihre Daten. Mit Blick auf künftige Regularien, wie beispielsweise die Datenschutzgrundverordnung (DSGVO), ist eine derartige Schatten-IT kein akzeptables Szenario. Es sind zwei Dinge, die aufeinandertreffen: Nutzer, die sich der Konsequenz ihrer Gerätenutzung für ihre Daten nicht bewusst sind. Auf der anderen Seite die IT-Abteilung, die dazu angehalten ist, mittels der Sicherung der Privatgeräte die Unternehmensdaten zu schützen.

Werden beide Dinge nicht miteinander vereinbart, bleibt stets eine suboptimale Lösung zurück: Die Möglichkeit, dass sich ein Mitarbeiter doch über ein ungesichertes Privatgerät Zugang zu Unternehmensdaten verschafft hat. Unternehmen helfen sich daher meist folgendermaßen: Um BYOD umsetzen zu können, kommt MDM-Software zum Einsatz, die in der Regel vorwiegend für unternehmenseigene Geräte konzipiert ist. Diese stellt sicher, dass alle Sicherheitsauflagen erfüllt werden, Updates rechtzeitig eingespielt, unsichere WLAN-Verbindungen abgelehnt und andere Apps keinerlei Zugriff auf Unternehmensdaten haben können. Dies geht jedoch häufig zu Lasten der Nutzerfahrung und stellt auch ein Risiko für die Privatsphäre der Nutzer dar. Das Ergebnis ist meist folgendes: Mitarbeiter lehnen die Nutzung derartiger Managed Devices ab, was wiederum zu Lasten der Workflows und auch der Sicherheit geht.

Die Zeit der Geräte ist vorüber
Die Sicherung von Geräten und den darauf befindlichen Inhalten ist historisch gewachsen und einleuchtend, wirft man einen Blick auf die Entwicklung der IT in den vergangenen Jahrzehnten. Künftig liegt das Augenmerk jedoch mehr auf den Daten. Diese Entwicklung zeigt sich unter anderem auch an den neuen gesetzlichen Richtlinien. Für Unternehmen ist es daher an der Zeit, künftig auch von der technischen Seite aus an die Daten zu denken sowie das Bewusstsein ihrer Mitarbeiter für deren Sensibilität zu schärfen. Die Zeit, in der die Sicherung von Geräten auch mit Datensicherheit gleichzusetzen war, läuft langsam ab. (Bitglass: ra)

eingetragen: 01.10.17
Home & Newsletterlauf: 13.10.17


Bitglass: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert. Die IoT-Entwicklung durchdringt mittlerweile alle Facetten unseres Lebens. Entsprechend rasant ist das Innovationstempo in diesem Bereich. Es existieren viele Anwendungen, die klug und ausgereift sind, aber leider auch solche, die das genaue Gegenteil davon sind. Dessen ungeachtet sind die weitaus meisten Anwendungen sehr wirkungsvoll etwa in der Landwirtschaft oder im Gesundheitswesen. Das IoT ist also nicht mehr weg zu denken. Trotzdem mutet die Entwicklung bisweilen so an, als versuche jemand zu rennen bevor er noch überhaupt laufen gelernt hat. Übersetzt heißt das, IoT-Entwickler vernachlässigen eine Kernkomponente unserer vernetzten Welt, die Sicherheit.

  • Mustererkennung umgehen

    Ob Viren, Würmer, Bots, Trojaner oder Keylogger, viele der gängigen Malware-Formen bergen nicht nur ein hohes Schadenspotential, sondern sind auch überaus wandlungsfähig. Ein berüchtigtes Beispiel ist die CryptoWall-Ransomware, mit der Cyberkriminelle nach Schätzung des FBI mehr als 18 Millionen Dollar erbeutet haben. CryptoWall ist ein polymorpher Ransomware-Stamm, der in bekannter Manier Daten auf dem Computer des Opfers verschlüsselt und anschließend Lösegeld erpresst. Der in CryptoWall verwendete polymorphe Builder entwickelt dabei für jedes Angriffsziel eine im Wesentlichen neue Code-Variante, um der Entdeckung durch traditionelle Sicherheitslösungen zu entgehen. Polymorphe Malware ändert ständig ihre identifizierbaren Merkmale, beispielsweise durch Veränderung von Dateinamen und -typen, Verschlüsselung oder Komprimierung. Einige polymorphe Taktiken existieren bereits seit den 1990ern, doch in den letzten zehn Jahren hat sich eine neue Welle aggressiver polymorpher Malware entwickelt.

  • Unterschätztes Risiko Insider-Angriff

    Beim Stichwort Cyber-Bedrohung denkt man häufig an großangelegte Malware-Angriffe wie Ransomware, mit denen Kriminelle versuchen, das Firmennetzwerk zu kompromittieren. Unterschätzt wird jedoch oft eine Gefahr, die bereits im Firmengebäude sitzt: Die Insider-Bedrohung. Insider - seien es unachtsame Angestellte oder böswillige Mitarbeiter, die aus finanziellen oder persönlichen Motiven Daten stehlen oder gar löschen - sind ein enormes Risiko für die Datensicherheit in Unternehmen. Oft haben Angestellte, externe Auftragnehmer und andere Dritte legitimen Zugriff auf sensible Daten, um effektiv und flexibel arbeiten zu können. Dies stellt eine Herausforderung für Sicherheitsteams dar, denn es ist wesentlich schwieriger, Bedrohungen zu erkennen, wenn der betreffende Akteur gültigen Zugriff auf Unternehmensdaten hat. Mit entsprechenden Richtlinien und Technologien kann die Gefahr eines internen Datenverlustes oder -diebstahls jedoch erheblich reduziert werden.

  • Crashtest für die IT-Sicherheit

    Im Jahr 2016 stoppten zwei Automobilzulieferer die Belieferung ihres Kunden Volkswagen. Dies führte bei Volkswagen zu erheblichen Verzögerungen in der Produktion und führte zu Verlusten von schätzungsweise bis zu 100 Millionen Euro. Diese damals sehr öffentliche Konfrontation veranschaulichte aber auch, wie anfällig die komplexe Automobil-Zulieferkette für Störungen sein kann. Da die IT-Anwendungen in diesem komplexen System immer wichtiger werden, haben die Automobilhersteller damit begonnen zu prüfen, ob die IT ihrer Zulieferer auf dem neuesten Stand und nicht durch ungeplante Ausfallzeiten gefährdet ist. Damit rücken die BC/DR-Strategien der Automobilzulieferer in den Fokus ihrer Hauptkunden. Für diese Lieferanten ist es an der Zeit, zu prüfen, ob ihre Strategien aktuell sind. Falls nicht, sollten sie auf eine modernere IT-Resilienz-Lösung umsteigen.

  • Eine sichere Zukunft für das Internet der Dinge

    Mittlerweile kontrollieren wir die Steuerung von Licht und Heizung über Amazon Echo, lassen die Leistung des PKW remote analysieren und potenzielle Fehler diagnostizieren, und wir verlassen uns auf die automatisierte Verwaltung von Systemen in betrieblichen Umgebungen. Das Internet der Dinge (Internet of Things - IoT) bestimmt bereits viele Aspekte dessen wie wir arbeiten und leben. Ein Ende des Booms ist nicht abzusehen. In immer neuen Studien gehen die prognostizierten Zahlen weiter nach oben. Inzwischen gehen Schätzungen davon aus, dass die Zahl der vernetzten Geräte innerhalb der nächsten drei Jahre auf 30 Milliarden anwachsen wird, bereits im Jahr 2025 soll sie sogar bei 80 Milliarden Dingen liegen.