BYOD (Bring Your Own Device) bezeichnet die Richtlinie, die es Mitarbeitern erlaubt, ihre privaten Mobilgeräte für den Zugriff auf Unternehmensnetzwerke und -systeme zu nutzen. Einige Mitarbeiter bevorzugen diese Option, was das Unternehmen dem Risiko von Reputationsschäden und rechtlichen Auseinandersetzungen aussetzt.
Unternehmen benötigen eine formale Richtlinie für die Nutzung privater Geräte am Arbeitsplatz.
Bring Your Own Device (BYOD) bezeichnet diese Art von Richtlinie – die festlegt, welche mobilen Geräte (falls vorhanden) Mitarbeiter für den Zugriff auf Unternehmensnetzwerke/Systeme verwenden dürfen.
Was sollte eine BYOD-Richtlinie umfassen?
Unternehmen benötigen Richtlinien, die festlegen, welche Geräte mit ihrem Netzwerk verbunden werden dürfen und welche nicht. Außerdem müssen Verfahren implementiert werden, die eine versehentliche Verbindung nicht genehmigter Geräte verhindern. Schließlich müssen geeignete Mechanismen zum Schutz personenbezogener Daten, die auf mobilen Geräten gespeichert sein können, eingerichtet werden.
Überprüfung der vorhandenen Geräte und Zugriffsrechte
Der erste Schritt besteht in der Durchführung einer Bestandsaufnahme der aktuellen Situation. Welche Geräte nutzen das Netzwerk und wofür?
Was sagt das Gesetz?
Als Arbeitgeber (der der Datenverantwortliche ist) bestehen gemäß DSGVO Verpflichtungen, geeignete technische und organisatorische Maßnahmen gegen die unbefugte oder unrechtmäßige Verarbeitung personenbezogener Daten sowie gegen den versehentlichen Verlust, die Zerstörung oder die Beschädigung personenbezogener Daten zu ergreifen.
Es besteht ein hohes Risiko, dass vertrauliche Unternehmens- und Kundendaten auf private Geräte gelangen – die in der Regel nicht sehr sicher sind und leicht verloren gehen, verlegt oder gestohlen werden können.
Die Risiken von Reputationsschäden
Stellen Sie sich folgendes Szenario vor: Ein Mitarbeiter erhält eine E-Mail mit einem Anhang, der eine Mailingliste aller Kunden und deren Kontaktdaten enthält. Er öffnet die E-Mail und speichert sie auf seinem Mobilgerät. Geht dieses Gerät verloren, könnten die darauf gespeicherten Daten in die Öffentlichkeit gelangen, missbraucht oder an einen Konkurrenten verkauft werden. Schlimmer noch: Die Datenschutzbehörde und jeder einzelne Kunde auf der Mailingliste müssen über den Datenverlust informiert werden. Dies kann zu erheblichen Reputationsschäden und hohen Geldstrafen führen.
Welche Geräte sind zulässig?
Nach der Durchführung eines Audits besteht der zweite Schritt darin, zu entscheiden, was in eine BYOD-Richtlinie aufgenommen oder ausgeschlossen werden soll. Dies geschieht in der Regel auf Geräteebene.
- Stufe eins – Nulltoleranz
- Dies mag die schnellste, einfachste und unkomplizierteste Lösung sein, ist aber nicht unbedingt die pragmatischste oder praktischste.
- Es kann auch dazu führen, dass manche Mitarbeiter bei der Ausführung bestimmter Aufgaben eher behindert als unterstützt werden, was zu Unzufriedenheit am Arbeitsplatz und einer sinkenden Arbeitsmoral führen kann.
- Ein vollständiges Verbot könnte sich also als kontraproduktiv erweisen.
- Es kann auch recht schwierig (und daher teuer) sein, eine Null-Toleranz-Politik ohne starke Netzwerksicherheitskontrollen zu kontrollieren und durchzusetzen.
- Stufe zwei – zugelassene Geräte
- Dies ermöglicht die Auswahl einer Liste von Geräten oder von Geräten mit einer bestimmten Betriebssystemsoftware (z. B. nur iOS-Geräte oder nur Android- und Windows-Geräte).
- Die Zulassung von Geräten kann die Verwaltung und Kontrolle des Zugriffs vereinfachen, benachteiligt jedoch Mitarbeiter, deren Geräte nicht zugelassen sind. Zudem gestaltet sich die Verwaltung schwierig, da täglich neue Modelle und Geräte auf den Markt kommen.
- Stufe drei – jedes Gerät
- Dadurch kann jedes beliebige Gerät „angeschlossen“ werden.
- Dieser Ansatz steht im krassen Gegensatz zur Nulltoleranz und erlaubt es, jedes Gerät jederzeit anzuschließen. Vorteile sind a) für den Mitarbeiter, der nicht durch ein bestimmtes Gerät eingeschränkt ist, und b) für das Unternehmen, das keine Liste zugelassener Geräte aktualisieren muss.
Bei dieser Vorgehensweise müssen jedoch strenge Kontrollmechanismen wie z. B. Mobile Device Management-Systeme eingesetzt werden.
Eine alternative Option!
Ein zunehmender Trend geht davon aus, dass einige Unternehmen von BYOD und einer Null-Toleranz-Politik absehen und stattdessen ihren Mitarbeitern eigene Geräte zur Verfügung stellen.
Welche Bewerbungen sind zulässig?
Das Unternehmen möchte möglicherweise den Zugriff auf bestimmte Anwendungen beschränken – meist auf E-Mail und Internetzugang. Ein uneingeschränkter Zugriff auf Netzwerke und Anwendungen sollte nach Möglichkeit vermieden werden, außer über PCs oder Laptops und auch dann nur über vertrauenswürdige Netzwerke oder sichere Fernzugriffstools.
Gewerbliche versus private Nutzung
BYOD-Geräte, die sich im Besitz eines Mitarbeiters befinden, werden wahrscheinlich sowohl für geschäftliche als auch für private Zwecke genutzt.
Einerseits muss der Mitarbeiter darauf vertrauen können, dass das Unternehmen nicht auf auf dem Gerät gespeicherte persönliche Daten zugreift oder Überwachungstools für das Gerät einsetzt, andererseits wird das Unternehmen die vertraulichen Unternehmens- und Kundendaten schützen wollen, die möglicherweise ebenfalls auf dem Gerät gespeichert (oder sichtbar) sind.
Arbeitgeber müssen sich darüber im Klaren sein, dass die Geräte (für private Zwecke) nicht nur vom Arbeitnehmer, sondern auch von anderen Familienmitgliedern genutzt werden können.
Drahtlose Sicherheit
Geräte lassen sich am einfachsten und schnellsten mit einem Netzwerk verbinden, indem sich Mitarbeiter drahtlos über ihr Gerät anmelden. Manche Unternehmen geben ihren WLAN-Schlüssel an die Mitarbeiter weiter, ohne zu bemerken, dass dieser Schlüssel dann auf allen Geräten, einschließlich privater Geräte, verwendet wird.
Eine gängige Methode zur Gewährleistung der Gerätesicherheit besteht darin, einen sehr sicheren (d. h. schwer zu merkenden) WLAN-Schlüssel zu verwenden, der ausschließlich von einem Mitglied des IT-Supportteams oder einer anderen benannten Person in das Gerät eingegeben wird. Dadurch lässt sich die Kontrolle auf Geräteebene relativ einfach aufrechterhalten. Je nach Größe und Komplexität des Unternehmens kann dieser Ansatz jedoch sehr zeitaufwändig sein.
Robustere Ansätze nutzen Netzwerk-Hardware, um Zugriffskontrolllisten für bestimmte Geräte zu erstellen, die zunächst registriert und vom Unternehmen freigegeben werden müssen, bevor sie sich verbinden können. Die Vorteile dieser Methode liegen in der Möglichkeit zur Überprüfung und Zeitzonensteuerung, beispielsweise der Beschränkung des WLAN-Zugriffs auf die Bürozeiten.
Geräteregistrierung
Die meisten aktuellen Versionen von Netzwerkbetriebssystemen (Windows und Mac) verfügen über integrierte Sicherheitsfunktionen, mit denen eine Liste „zugelassener“ Geräte verwaltet werden kann.
Dies geschieht durch einen Registrierungsprozess, der im Wesentlichen der Registrierung von Netzwerkhardware entspricht. Dabei wird das Gerät im Netzwerk vorgestellt und registriert.
Wenn ein Gerät verlegt wird oder ein Mitarbeiter das Unternehmen verlässt, kann das Gerät gesperrt/aus der Liste der registrierten Geräte entfernt werden.
Dieser Ansatz ist zwar nützlich, um unerwünschte Gäste zu blockieren und den Zugriff auf Netzwerkressourcen zu kontrollieren, der Nachteil besteht jedoch darin, dass man keine Kontrolle mehr hat, wenn ein angeschlossenes Gerät verloren geht oder gestohlen wird.
Mobile Device Management (MDM) / Mobile Applications Management (MAM)
Ein robusterer Ansatz zur Gewährleistung der Gerätesicherheit ist die Nutzung von MDM-Diensten – diese können entweder als Teil der Netzwerkbetriebssoftware bereitgestellt werden oder dieser Dienst kann von einem Drittanbieter bereitgestellt werden.
Es gibt verschiedene Stufen dieser Dienstleistung, die von einfachen Registrierungs- und Geräte-Reset-Diensten bis hin zum Sandboxing von persönlichen und Unternehmensdaten reichen, wodurch nur die Unternehmensdaten separat gelöscht werden können.
Die Mitarbeiter müssen dem jeweiligen Mobile-Device-Management-System zustimmen, wenn sie BYOD einführen möchten.
Die Mitarbeiter müssen außerdem zustimmen, wenn MDM-Software zur Überwachung des Geräts verwendet wird, welche Aktivitäten überwacht werden und ob Geolokalisierung genutzt wird.
Schließlich müssen die Mitarbeiter verstehen, was mit ihren auf dem Gerät gespeicherten persönlichen Daten geschieht, falls das Gerät deaktiviert werden muss.
Diese Methode bietet alle Vorteile einer einfachen Bedienung für Endnutzer und gleichzeitig ein hohes Maß an Sicherheit für Unternehmen. Zudem ermöglicht sie die Ortung verlorener oder gestohlener Geräte sowie deren Sperrung und Datenlöschung aus der Ferne.
Datenverschlüsselung
Eine BYOD-Richtlinie allein bietet keinen ausreichenden Schutz. Alle vertraulichen/personenbezogenen Daten müssen verschlüsselt werden. Ein Dokument/eine Tabelle lediglich als schreibgeschützt zu kennzeichnen oder ein Passwort zum Öffnen zu erstellen, ist nicht dasselbe wie die Daten zu verschlüsseln.
Unternehmen müssen prüfen, welche personenbezogenen Daten von und zu welchen Geräten übertragen werden. Anschließend müssen sie das Risiko bewerten, dass die Daten öffentlich zugänglich werden, und geeignete Verschlüsselungsmethoden einsetzen, um diese vertraulichen/personenbezogenen Daten zu schützen.
Weitere zu berücksichtigende Punkte
- Gerätepasswortschutz – Jedes BYOD-Gerät muss über ein Startpasswort/eine PIN verfügen und sollte gesperrt werden, wenn es eine bestimmte Anzahl von Minuten nicht benutzt wird oder wenn ein falsches Passwort/eine falsche PIN nach einer festgelegten Anzahl von Versuchen eingegeben wurde.
- Verlegte Geräte – Im Rahmen der BYOD-Richtlinie muss der Mitarbeiter wissen, an wen er sich wenden kann und was mit dem Gerät passiert, wenn es verlegt wird (d. h. welche Daten vom Gerät gelöscht werden könnten).
- Kosten – Das Unternehmen kann zustimmen, bestimmte Gebühren für mobile Geräte oder die Kosten für den Ersatz verlorener/gestohlener oder beschädigter Geräte zu übernehmen, wenn diese für geschäftliche Zwecke verwendet werden, oder dies ablehnen.
- Richtlinie zur akzeptablen Nutzung – Das Unternehmen wird sicherstellen wollen, dass jede Richtlinie zur akzeptablen Nutzung auch für BYOD-Geräte gilt.
- Geräte, die gerootet/gejailbreakt wurden, sollten nicht zugelassen werden, und es sollte eine strikte Richtlinie gelten, die sicherstellt, dass Geräte, die für BYOD eingerichtet wurden, anschließend nicht gerootet/gejailbreakt werden.
- Speichermedien – das Unternehmen sollte die Vorgehensweise in Bezug auf Speicherkarten/SD-Karten genauer spezifizieren, insbesondere ob diese verschlüsselt sind oder ob Daten darauf gespeichert werden können.
Umsetzung der BYOD-Richtlinie
BYOD kann entweder als separate Richtlinie formuliert, einer bestehenden Richtlinie zur akzeptablen Nutzung hinzugefügt oder einer bestehenden Internet- und E-Mail-Richtlinie oder Social-Media-Richtlinie hinzugefügt werden.
Firmeneigene Geräte fallen standardmäßig unter die BYOD-Regelung.
Mitarbeiter, die über eigene private Geräte verfügen, sollten die Möglichkeit erhalten, sich für oder gegen die BYOD-Richtlinie zu entscheiden.
- Abmeldung – Ablehnung der Anmeldung zur BYOD-Richtlinie – in diesem Fall kann der Mitarbeiter keine privaten Geräte für die Arbeit verwenden.
- Opt-in – Zustimmung zur Anmeldung für die BYOD-Richtlinie – in diesem Fall muss ihr Gerät im Netzwerk und gegebenenfalls auch bei einem Mobile Device Management-Dienst registriert werden.
In unserer Zusammenfassung finden Sie unsere vier einfachen Schritte zur Definition und Implementierung einer BYOD-Richtlinie.
Zusammenfassung
Es ist wichtig, dass der Arbeitgeber (als Datenverantwortlicher) die Bestimmungen der DSGVO hinsichtlich der Verarbeitung personenbezogener Daten einhält. Im Falle einer Sicherheitsverletzung muss er nachweisen können, dass alle auf einem bestimmten Gerät gespeicherten personenbezogenen Daten gesichert, kontrolliert oder gelöscht wurden. Eine BYOD-Richtlinie trägt wesentlich dazu bei, dieses Ziel zu erreichen.
Vier Schritte zur Definition und Implementierung eines BYOD
- Schritt eins – Geräte und Nutzung prüfen
-
- Welche Geräte sind aktuell im Netzwerk zugelassen?
- Welche Zugriffsrechte haben sie?
- Welche Anwendungen nutzen sie?
- Welche Daten sollten sie speichern?
- Schritt zwei – BYOD-Level
-
- keine Geräte
- Genehmigte Liste
- alle/beliebige Geräte
- definieren, welche Anwendungen auf mobilen Geräten zugänglich sind.
- Schritt drei – BYOD-Richtlinie
-
- Formulieren und verfassen Sie die BYOD-Richtlinie.
- Nehmen Sie geeignete Änderungen an der Netzwerkinfrastruktursicherheit vor und beschaffen Sie alle zusätzlichen Dienste (wie z. B. MDM).
- Entscheiden Sie, ob zusätzliche Sicherheitsmaßnahmen erforderlich sind, wie z. B. Datenverschlüsselungstools.
- Legen Sie ein Datum für die Umsetzung der Richtlinie fest und kommunizieren Sie dieses.
- vierter Schritt – Implementierungsdatum
-
- Entfernen Sie alle vorhandenen Geräte und stellen Sie sicher, dass sich darauf keine Daten befinden.
- Zugelassene Geräte registrieren
- Mitarbeiter, die solche Geräte besitzen, unterzeichnen BYOD.
