Ein gutes Konzept für "Bring your own Device"

Herr Wahl, welche Sicherheitsanforderungen sollten Unternehmen bei einer BYOD-Strategie berücksichtigen?
Tobias Wahl: Entscheidend ist, dass sich Unternehmen darüber bewusst sind, welche Informationen auf den Geräten verarbeitet werden, und ein entsprechendes Konzept zur Absicherung dieser durchsetzen. Dies ist häufig nicht einfach, da es schnell zu Interessenkonflikten kommt. Zum einen möchten Mitarbeiter die meist selbst finanzierten Geräte möglichst frei und vollständig nutzen, zum anderen sind die Standardeinstellungen der Geräte nicht ausreichend, um Unternehmensdaten in E-Mails oder anderen Anwendungen wirkungsvoll zu schützen. Striktere Vorgaben können den Schutz erhöhen, wirken sich aber auf die Nutzung des Gerätes aus.

Was wird in diesem Zusammenhang oft vernachlässigt?
Wahl: Häufig wird unterschätzt, wie vernetzt moderne mobile Geräte sind und wie schnell sich deren Daten auf andere Systemen verbreiten. Zum Beispiel werden Daten mit Cloud-Diensten synchronisiert oder Backups auf dem heimischen Rechner angelegt. Auch diese Szenarien müssen bei einem Schutzkonzept bedacht werden. Dazu kommt, dass sich in den Daten häufig Zugangsinformationen zur Infrastruktur der Unternehmen befinden. Sollten diese Daten in falsche Hände gelangen, sind sie eventuell der Schüssel zu weit umfangreicheren Angriffen auf Server des Unternehmens.

Welche Möglichkeiten zur Absicherung gibt es?
Wahl: Hierzu gibt es im Prinzip zwei Strategien: Geräte können vom Unternehmen mit einer Sicherheitsrichtlinie versehen werden, die die Einstellungen des Geräts nach den Vorgaben des Unternehmens verändert. Beispielsweise kann so technisch erzwungen werden, dass Geräte mit einem Passwort abgesichert sind. Die andere Variante ist, die Unternehmensdaten in einer speziellen Applikation zu kapseln – also eine Art Sandbox. Diese Applikation speichert die Daten verschlüsselt und lässt sich von einem Administrator des Unternehmens konfigurieren, die allgemeinen Einstellungen des Betriebssystems bleiben aber unangetastet.
 
Wie riskant ist es, Mitarbeitern die Verantwortung für notwendige Sicherheitsmaßnahmen zu überlassen?
Wahl: Egal welche technische Lösung sich ein Unternehmen für seine BYOD-Strategie überlegt, das Sicherheitsbewusstsein der Mitarbeiter ist immer ein ganz wichtiger Faktor, um Unternehmensinformationen zu schützen. Auch bei weitreichenden technischen Einschränkungen lassen sich immer wieder Wege finden, mit denen ein Mitarbeiter diese umgehen kann. Die Frage nach dem Risiko, den Mitarbeitern den Schutz der Unternehmensinformation weitestgehend selbst zu überlassen, lässt sich nicht allgemein beantworten. Dies hängt davon ab, wie hoch der Schaden für das Unternehmen ist, sollten die auf dem Gerät verarbeiteten Informationen verloren gehen. Außerdem muss abgewogen werden, wie hoch die Wahrscheinlichkeit ist, dass Informationen durch Mitarbeiter unzureichend geschützt werden und letztlich in falsche Hände geraten.

Für welche BYOD-Strategie entscheiden sich Unternehmen?
Wahl: Für eine Sandbox-Strategie spricht, dass den Mitarbeitern die Geräte weitestgehend selbst überlassen werden und sich die Kontrolle des Unternehmens auf eine Applikation beschränkt. Der Nachteil ist, dass sich diese Applikationen in der Benutzung von den Standardfunktionen der Geräte unterscheiden. Werden geräteeigenen Funktionen auch beruflich verwendet, kann ein Sicherheitsprofil Risiken verringern. Viele Mitarbeiter empfinden diese Profile aber auch als Einschränkung ihrer Freiheit zur privaten Nutzung. Die Entscheidung wird unter Abwägung zwischen Sicherheit, Kosten der Lösungen und der jeweiligen Unternehmenskultur getroffen.

Gibt es einen Kostenvorteil bei BYOD-Strategien und in welchem Verhältnis steht dieser zu einem möglichen Sicherheitsrisiko?
Wahl: Ob sich ein Kostenvorteil durch BYOD ergibt, ist keineswegs sicher. Zwar können die Kosten für die Geräteanschaffung sinken, wenn Mitarbeiter ganz oder teilweise die Anschaffung ihrer Geräte tragen, es steigen aber die Anforderungen an eine Infrastruktur, die alle Gerätetypen bedienen kann und ein ausreichendes Maß an IT-Sicherheit ermöglicht. Der langjährige Trend, die IT in Unternehmen zu vereinheitlichen, um Kosten zu sparen, wird bei BYOD wieder umgekehrt. Eine sehr große Herausforderung ist auch der Anwendersupport. Hier müssen Wege gefunden werden, um auf Fragen und Probleme der Mitarbeiter reagieren zu können.