Privat oder beruflich, lokal oder Cloud? Unerheblich!

Thomas Mayerhofer ist PreSales Consultant bei Virtual Solution und ein Experte, wenn es um den Einsatz von privaten Geräten im beruflichen Umfeld geht. In unserem Interview verrät er, warum BYOD für viele Unternehmen die optimale Wahl ist und wie dieser Ansatz bestens abgesichert werden kann.

Wir schreiben das Jahr 2020. Unser Leben findet zu einem guten Teil digital statt. Kaum jemand verlässt das Haus mehr ohne sein Smartphone. Und auch im beruflichen Umfeld ist das Mobilgerät nicht mehr wegzudenken. Welche Auswirkungen haben diese Entwicklungen auf die Art und Weise, wie wir Smartphones im Spannungsfeld privat / beruflich verwenden?

Das Smartphone ist zu unserem ständigen Begleiter geworden. Es gibt kein Problem, für das es nicht eine App gibt. Benutzer sind es gewohnt, ihr Smartphone sehr flexibel und dynamisch zu nutzen und auch dementsprechend anzupassen.

Wenn Sie Ihr Smartphone rein privat nutzen, ist das alles gar kein Problem. Wenn Sie es beruflich nutzen, sind Sie sie mit dieser dynamischen Arbeitsweise immer potenziell in Konflikt mit Datenschutz- und Sicherheits-Themen. Denn Sie können nie genau wissen, was die Apps im Hintergrund machen.

Es scheint, als wäre BYOD (Bring Your Own Device) zur bevorzugten Wahl vieler Unternehmen avanciert. Welche Vorteile bringt das mit sich?

Natürlich zählen dazu sehr viele smarte Faktoren: Man kann sich sehr viel dynamischer auf die Anforderungen der Benutzer einstellen. Es hat aber natürlich auch wirtschaftliche Faktoren für Firmen, wie zum Beispiel Kostenersparnis bei der Anschaffung von Mobilgeräten. Und man ist nicht mehr abhängig von einem bestimmten Gerätetypen oder -hersteller. Stattdessen kann man mit dem BYOD-Ansatz herstellerunabhängig agieren und dem User ein besseres Nutzererlebnis bieten, weil Wünsche stärker respektiert werden können.

...was dann wiederum zu höherer Motivation und letztlich besserer Arbeit führt.

Selbstverständlich.

Gerade die jüngeren Generationen fragen immer häufiger bereits im Vorstellungsgespräch, weshalb sie veraltete Geräte zur beruflichen Nutzung erhalten – wo sie selbst doch stets aktuell sind. BYOD löst dieses Problem direkt.

Gleichzeitig stellt sich die Frage, wie Unternehmen die Sicherheit dieser Geräte wahren möchten. Da es sich um Privatgeräte handelt, können Firmen schließlich nicht die private Nutzung der Geräte unterbinden. Wie lösen Unternehmen diese Problematik möglichst einfach und zeitsparend?

Das ist eine technische Herangehensweise. So können Sie versuchen, die gesamte Umgebung um ihre Daten herum anzupassen und zu kontrollieren. Auf diese Weise gewährleisten Sie Datensicherheit.

Wir machen es genau andersherum: Mit unserer selbst programmierten Container-Lösung stellen wir sicher, dass alle geschäftlichen Daten in dieser App sicher aufbewahrt sind. Alles andere auf dem Gerät ist dann privat und stellt kein Sicherheitsrisiko für die geschäftlichen Daten dar. Vergleichbar ist das mit einer verschlossenen Schatzkiste.

Und warum der Container und nicht gleich die gesamte Infrastruktur auf dem Gerät absichern?

Das ist natürlich ein Management-Thema: Es ist wesentlich mehr Aufwand, ein komplettes Gerät zu verwalten als nur die Container-Lösung. Sie müssen sich schließlich an jeden Gerätetypen anpassen. Und bei BYOD gilt: Das Gerät gehört dem Benutzer. Als Firma haben Sie nicht das Recht, die Hoheit über dieses Gerät zu beanspruchen und zum Beispiel bei Diebstahl sämtliche Daten auf dem Gerät zu löschen. Der Firma gehören nur die Daten – die können Sie hoheitlich verwalten.

Wofür verwenden die meisten Nutzer ihr eigenes Gerät beruflich? Wo setzen Unternehmen für deren Sicherheit am besten an?

Eine immer dynamischere Arbeitswelt ohne statisches 9-to-5 führt dazu, dass der Nutzer auch während der Arbeitszeiten privat erreichbar sein möchte. Entsprechend ist das eigene Smartphone auf der Arbeit präsent. Im Gegenzug sind in der Business-Welt Termine, Kontakte und E-Mails zentraler Gegenstand – gemeinsam mit einem Messenger möchte man diese Apps vor allem unterwegs, im Homeoffice oder in kritischen Situationen auch nach Feierabend nicht mehr missen.

Um Daten dann sicher zu verwahren, sollte ein extra Business Messenger verwendet werden. Idealerweise agiert dieser nur mit bereits bekannten, vertrauenswürdigen Kontakten, zum Beispiel wenn diese direkt vom zentralen Server zur Verfügung gestellt werden. Dann entfällt auch die lästige Mobilfunk-Nummern Suche und Eingabe zur Chat-Eröffnung.

BYOD bedeutet ja nicht nur, das eigene Smartphone mit zur Arbeit zu bringen. Welche weiteren Devices bzw. Geräte erleben Sie ebenfalls im Einsatz? Wie sieht es hier mit der Sicherheit aus?

Smart Speaker wie Alexa haben wir bislang noch nicht im Business-Umfeld erlebt. Diese würde ich insbesondere wegen der fragwürdigen Datensicherheit sehr mit Vorsicht genießen. Smart Watches wie z.B. die Apple Watch sind dafür schon wesentlich relevanter. Wichtig bei zusätzlichen Gerätetypen ist es immer, sowohl Datenschutz-Behörden als auch Benutzer ins Boot zu holen. Dann spricht nichts dagegen.

Nehmen wir an, ein*e Mitarbeiter*in entscheidet sich für einen Arbeitgeberwechsel. Ein guter Ausstieg misslingt und der*diejenige möchte das eigene Smartphone der IT-Abteilung abschließend nicht mehr zur Datenbereinigung überlassen. Wie stellt das Unternehmen sicher, dass die eigenen Daten nicht missbraucht oder veröffentlicht werden?

Kommuniziert der Container noch regelmäßig mit seinem Management-System, haben wir Möglichkeiten, die App remote zu sperren. Wenn es noch nicht klar ist, ob der Kollege zurückkommt, ob sich die Angelegenheit gütlich regeln lässt – oder wenn keine Einigung möglich ist, kann man den Container auch remote löschen. Bei MDM-Herstellern ist das ebenfalls eine übliche Vorgehensweise.

Wenn die App keinen Kontakt mehr hat, ist natürlich keine Fernsteuerung mehr möglich. Stattdessen gibt es eine Noteinrichtung: Wenn der Kontakt über eine gewisse konfigurierbare Zeit misslingt, löscht sich die App samt Daten automatisch.

Und wie sieht es aus, wenn Mitarbeiter – möglicherweise gar nicht aus bösem Willen – versuchen, Unternehmensdaten aus dem Gerät abzuziehen und auf dem eigenen PC zu speichern?

Wenn man die Container-Lösung als eigene Software unter Kontrolle hat, kann man alle Kommunikationsschnittstellen zwischen Container und Gerät kontrollieren. Das bedeutet: Man kann unterbinden, dass Kontakte aus dem Container heraus repliziert werden, dass Screenshots gemacht werden – oder Daten lokal gespeichert werden. Man muss dazu nur die entsprechende Konfiguration auswählen.

Was man allerdings nicht verhindern kann, ist, dass Mitarbeiter den Bildschirm abfotografieren, einem Zweiten zeigen, abschreiben oder Ähnliches. Hier muss man Datenschutz immer technisch und organisatorisch betrachten: Die technischen Möglichkeiten sind dann ausgeschöpft. Organisatorisch kann man aber noch weitere Maßnahmen ergreifen.

Das Thema Datenschutz und Datenschutz-Grundverordnung treibt noch immer die Geister umher. Welche organisatorischen Instrumente empfehlen Sie zusätzlich zu diesen technischen Maßnahmen?

Es sollte selbstverständlich immer Nutzungsvereinbarungen geben, wie Geräte und Daten zu handhaben sind. Ebenfalls eine organisatorische Maßnahme ist, die Angestellten und Mitarbeiter regelmäßig zu schulen: Wie funktioniert Datenschutz, auf welche Daten wird Wert gelegt, welche Daten sind flexibel? Außerdem sollten Sie regelmäßig auf neue Gefahren hinweisen, etwa relevantes Phishing oder Ähnliches.

Der häufigste Ansatz bei Datenmissbrauch ist jedoch der Benutzer, da es der einfachste Ansatzpunkt ist. Kein Hacker hackt heute eine Firewall – das würde auffallen. Stattdessen verteilt man Gadgets oder Ähnliches an Nutzer und wartet, bis diese verwendet werden.

Das heißt, wenn ich ein neues Gerät mit ins Unternehmen bringe und es in die Container-Infrastruktur aufnehmen möchte, gibt es dafür ein entsprechendes Onboarding-Verfahren.

Genau – in der Regel ist es so, dass der Arbeitgeber Sie in die zentrale Benutzerdatenbank aufnimmt. Das geschieht unabhängig von einer spezifischen Lösung. Von dieser aus werden Rechte verteilt. Die so angelegten Nutzer erhalten über einen zweiten Weg – über eine bekannte E-Mail-Adresse oder über einen HelpDesk – ihre Benutzerdaten mitgeteilt. So ist man innerhalb 5 Minuten voll funktionsfähig. Wenn man es genau nimmt, handelt es sich dabei also um eine Zwei-Faktor-Authentifizierung.

Braucht man eigentlich zwingend ein MDM, um seine mobilen Geräte für den Business Betrieb zu verwalten?

Nein, das braucht man nicht. Ein Mobile Device Management (MDM) verwaltet die jeweiligen Geräte. Es hat viele verschiedene Funktionen, sodass Sie alle Einstellungen auf dem Smartphone auch remote konfigurieren können. Eigentlich wunderbar! Doch bei einem MDM handelt es sich um komplexe Software, die man nicht eben schnell nebenbei implementiert und administriert. Es ist komplex, muss von Experten gemanaged werden und teuer – und damit nicht für jedes Unternehmen geeignet.

Eine Container-Lösung bietet die gleiche, wenn nicht sogar eine höhere Datensicherheit für einen Bruchteil des Aufwands. Damit ist diese Form der technischen Umsetzung insbesondere für kleinere Unternehmen interessant. Es ist einfach, hochsicher, deutlich schneller zu implementieren und günstiger – ganz ohne MDM.

Lassen Sie uns nochmal auf die Datenschutz-Grundverordnung zurückkommen. Kann BYOD im Sinne der DSGVO eigentlich sicher umgesetzt werden?

Ja, kann es. Das ist genau unser Ansatz: Wenn wir sicherstellen, dass private und geschäftliche Daten zuverlässig getrennt werden können, dann ist das problemlos machbar. Unsere Lösung ist ein sehr einfacher Weg, das out of the box wiederzugeben.

Wir trennen bei SecurePIM Geschäftsdaten von privaten Daten durch die Container-Lösung. Das unterstützt zum einen die Datensicherheit, insbesondere weil die Daten verschlüsselt sind und ferngesteuert werden können. Praktisch für den Benutzer: Er kann sein Gerät weiter benutzen und hat eine saubere Trennung zwischen Privatem und Beruflichem. Erst wenn er die App öffnet – ein deutlich abgegrenzter Vorgang –, befindet er sich im Arbeitsbereich. Sobald er die App schließt, kann er wieder vollkommen frei mit seinen Daten umgehen.

Nicht selten bewegt man sich ja zwischen beiden Bereichen in einer Grauzone. Man kann dann nicht so genau unterscheiden – ist das gerade noch privat oder schon beruflich? Sind meine Daten gerade lokal gespeichert oder doch schon in der Cloud? Und wo gebe ich vielleicht gerade Informationen weiter? All das trennen wir sauber mit unserer App.

Zuletzt: Von wie vielen Vorkommnissen haben Sie in den letzten vier Wochen gehört, die die Datenschutz-Grundverordnung verletzt haben?

So einige! Wer die Presse aufmerksam verfolgt, fragt sich, wie viele Geschäftsführer eigentlich ruhig schlafen können. Es wird zwar besser, doch vielerorts fehlen sogar noch grundlegende Maßnahmen.

Gott sei Dank bewegt die DSGVO hier viel – insbesondere durch Strafen. Kürzliche Vorfälle gab es beim Autoverleih Buchbinder, dem Amazon-Chef und beim Kammergericht Berlin. Daten sind kostbar und es gibt viele Abnehmer dafür, die keine Skrupel hegen.

Vielen herzlichen Dank für das spannende Interview, Herr Mayerhofer!