Mit Mobile Device Management Risiken reduzieren

In den letzten Jahren ist die Anzahl der Security-relevanten Vorfälle durch mobile Geräte stark gestiegen. Zentrale Ursachen sind der physische Datenverlust, Diebstahl, das Verlieren des Gerätes oder die missbräuchliche Verwendung von Apps. Hierdurch kommt es zu Datenverlust, Offenlegung von Betriebsgeheimnissen oder Verfügbarkeitsproblemen aufgrund von Schadsoftware.

Dieses Risiko können Unternehmen stark reduzieren, indem sie ein Mobile Device Management (MDM) implementieren. Besonders in Organisationen mit einer größeren Anzahl von Smartphones, Tablets und Phablets ist ein MDM unabdingbar für einen geregelten und sicheren Betrieb dieser Geräte.

Erfahren Sie die Vor- und Nachteile eines MDM, worauf Sie bei der Umsetzung achten sollten und ob private Geräte einsetzbar sind.

Ein Mobile Device Management ist die zentralisierte Verwaltung von mobilen Geräten wie Smartphones, Tablets und Notebooks im Unternehmen. Die zwei wichtigsten Aufgaben: Sicherheit gewährleisten und Funktionalität optimieren.

Eine MDM-Software ermöglicht die Verteilung von Anwendungen (Apps), Daten und Konfigurationseinstellungen sowie Patches für die mobilen Geräte. Im Idealfall ermöglicht die MDM-Software der Administration, mobile Geräte so einfach wie Desktop-Rechner zu überwachen und bietet optimale Performance für die Anwender:innen.

Das Mobile Device Management kann ebenfalls dazu dienen, Unternehmensdaten von privaten Daten auf Geräten sauber zu trennen. Das ist besonders relevant, wenn im Unternehmen Privatnutzung zumindest geduldet und „Bring your own Device“ (BYOD) erlaubt ist.

Grundsätzlich gilt: Je mehr Mitarbeitende mobile und dazu noch unterschiedliche Geräte nutzen, desto komplizierter werden die Anforderungen an das MDM.

Die Vorteile eines MDM liegen auf der Hand: erhöhte Sicherheit und zentrale Verwaltung der eingesetzten Anwendungen und Systeme. Durch Anforderungen wie Nutzungsrichtlinien oder Berechtigungskonzepte gibt es klare Regeln für den Einsatz der Geräte.

Durch ein organisiertes Anwendungsmanagement wird beispielsweise ein unternehmensweiter Anwendungskatalog bereitgestellt. Das ist ein virtueller „Play Store“ des Unternehmens, der sichere und unternehmenskonforme Anwendungen zum Herunterladen zur Verfügung stellt.

Weiterhin kann die IT-Administration über das MDM kritische Updates und Patches für notwendige Anwendungen und Firmware einspielen, die nicht nur die Funktionen, sondern auch die Sicherheit auf dem neuesten Stand halten. Ebenfalls ist es möglich, aus der Ferne Fehlfunktionen zu beheben, Geräte zu sperren oder Daten zu löschen.

Und wenn es zum Zwischenfall kommt und Sie Daten aus dem Backup wiederherstellen müssen? Dann erleichtert das MDM diesen Prozess und stellt bei einem Systemabsturz beschädigte oder verloren gegangene Daten wieder her.

Durch das MDM und die Einrichtung eines sicheren Containers auf dem Smartphone ist auch eine Trennung von geschäftlichen und privaten Daten möglich. Dies ist besonders relevant bei BYOD-Strategien.

Natürlich ist ein MDM nicht so einfach eingeführt. Es entsteht einiges an Verwaltungsaufwand und Einführung und Betrieb sind unter Umständen kostspielig, aufwendig und komplex. Es wird einiges an administrativem Know-how vorausgesetzt – das bringen nicht alle IT-Abteilungen oder IT-Dienstleister mit.

Auch aus Sicht des Datenschutzes und der Informationssicherheit gibt es Themen, die unbedingt geregelt werden müssen.

Für die Einrichtung muss ein geeignetes Berechtigungskonzept erstellt werden, damit die Rechte der Personen eindeutig zuordenbar sind. Wenn zu hohe Rechte eingeräumt werden, können entweder schützenswerte Daten abfließen oder Datenschutzbestimmungen verletzt werden. Diese Rechte müssen auch immer wieder auf dem Prüfstand gestellt und sofern notwendig angepasst werden.

Die Administration muss bei der zentralen Verwaltung von mobilen Geräten die rechtlichen Vorgaben des Datenschutzes einhalten. Mit den meisten MDM-Produkten lässt sich ermitteln, wo sich ein Gerät gerade befindet und es können standortabhängig Daten oder Apps freigegeben bzw. gesperrt werden (sogenanntes „Geofencing“). Dadurch entstehen detaillierte Bewegungsprofile der Geräte und somit auch der Benutzer:innen. Werden diese Daten erhoben, ohne die Benutzer:innen in geeigneter Weise darüber zu informieren, verstoßen die Verantwortlichen unter Umständen gegen datenschutzrechtliche Bestimmungen. Dies sollte durch geeignete technische Einstellungen und ergänzende Richtlinien oder Betriebsvereinbarungen geregelt werden.

Wie geht man jetzt vor, wenn ein MDM eingeführt werden soll?

• Sie definieren, welche Mitarbeitende Endgeräte benutzen dürfen und wie diese Geräte in die IT-Struktur integriert werden.
• Sie legen fest, welche mobilen Endgeräte überhaupt zugelassen sind. Alle erlaubten Geräte und Betriebssysteme müssen den Anforderungen der MDM-Strategie genügen und die technischen Sicherheitsanforderungen des Unternehmens vollständig erfüllen. Eine BYOD-Regelung kann dieses Vorgehen um einiges verkomplizieren.
• Es sollte eine generelle Richtlinie zur Nutzung und Kontrolle der Geräte verabschiedet werden, um z. B. zu klären, wer mit welchen Geräten auf welche Informationen zugreifen darf.
• Zusätzlich verabschieden Sie eine verbindliche Richtlinie für Mitarbeitende zur Benutzung der mobilen Geräte. Hier wird festgelegt, wie die mobilen Geräte genutzt werden, was bei Verlust zu tun ist und dass es verboten ist, Software zu deinstallieren oder sicherheitsrelevante Konfigurationen zu ändern.
• Alle mobilen Endgeräte müssen, bevor sie eingesetzt und an die Mitarbeitenden ausgegeben werden, in das MDM integriert werden. Ein nicht über MDM konfiguriertes Endgerät darf nicht auf unternehmensinterne Informationen zugreifen können.

Wenn dann alles eingerichtet ist und läuft, müssen die Sicherheitseinstellungen weiterhin regelmäßig überprüft werden. Bei neuen Betriebssystemversionen der mobilen Endgeräte sollte beispielsweise vorab geprüft werden, ob das MDM diese vollständig unterstützt und die Konfigurationsprofile und Sicherheitseinstellungen weiterhin wirksam und ausreichend sind.

Auch die zugeteilten Berechtigungen für Benutzer:innen und Administrator:innen müssen regelmäßig daraufhin überprüft werden, ob sie weiterhin angemessen sind (Minimalprinzip).

BYOD bedeutet, dass Mitarbeitende einer Organisation unter Einhaltung bestimmter Richtlinien ihre privaten Geräte für arbeitsbezogene Aktivitäten verwenden können. Das bedeutet, dass sie mit ihren persönlichen Endgeräten Zugriff auf die IT-Infrastruktur des Unternehmens erhalten.

Dieses Vorgehen ist bei Mitarbeitenden generell gerne gesehen, da sie dann nur ein Gerät für alles haben, mit den Einstellungen vertraut sind und mit dem Gerät arbeiten, das sie sich selbst ausgesucht haben. Andererseits entstehen dem Unternehmen hierdurch Sicherheitsrisiken.

Diese Risiken werden umso größer, wenn kein MDM eingerichtet ist.

• Es können rechtliche Probleme bezüglich der Software-Lizenzen eintreten.
• Wenn dienstliche Daten durch das MDM auf dem Gerät gelöscht werden müssen, kann das Auswirkungen auf die privaten Daten der Benutzer:innen haben.
• Die IT-Zuständigen können nicht jedes einzelne private Gerät daraufhin prüfen, ob es den dienstlichen Anforderungen genügt. Dadurch können Geräte verwendet werden, die gegen Datenschutz- und Sicherheitsanforderungen verstoßen.
• Zudem sind die Benutzer:innen oft selbst dafür zuständig, ihre Geräte zu warten und reparieren zu lassen. Bei einer solchen Reparatur könnten beispielsweise Firmendaten unbefugt eingesehen werden.
• Die gleiche Gefahr besteht, falls nicht geregelt ist, was mit den Daten auf dem Gerät geschehen soll, wenn Mitarbeitende aus dem Unternehmen ausscheiden.

Es ist daher unerlässlich, beim Einsatz von BYOD eine entsprechende Richtlinie zu erstellen um diese Themen zu klären. Nur wenn die Bedingungen klar definiert sind, kann auch die Frage der Haftung geklärt werden.

Sicherheitsrisiken lassen sich stark reduzieren, indem ein MDM eingesetzt wird. Besonders in Organisationen mit einer größeren Anzahl mobiler Endgeräte ist ein MDM unabdingbar für einen geregelten und sicheren Betrieb dieser Geräte. Sollten private Endgeräte eingesetzt werden (BYOD) sind nochmals extra Vorkehrungen zu treffen.

Auch wenn die Administration erhöhte Anforderungen an die IT stellt, ist ein MDM nur zu empfehlen.

Sie möchten ein Mobile Device Management bei sich umsetzen? Wir bieten Ihnen Lizenzen in verschiedenen Ausprägungen, die Implementierung, Verwaltung und Wartung an!

BSI (2021), Grundschutzkompendium „SYS.3.2.2 Mobile Device Management (MDM)“, Februar 2021, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2022/07_SYS_IT_Systeme/SYS_3_2_2_Mobile_Device_Management_Edition_2022.pdf?_blob=publicationFile&v=3#download=1, letzter Zugriff 17. März 2022.

BSI (2021), Grundschutzkompendium „SYS.3.2.1: Allgemeine Smartphones und Tablets“, Februar 2021, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Kompendium_Einzel_PDFs_2021/07_SYS_IT_Systeme/SYS_3_2_1_Allgemeine_Smartphones_und_Tablets_Edition_2021.pdf?__blob=publicationFile&v=2, letzter Zugriff 17. März 2022.

Vmware (o.J.), „Was ist Mobile Device Management“, https://www.vmware.com/de/topics/glossary/content/mobile-device-management.html, letzter Zugriff 21. März 2022.

Laimingas (2017), „Definition: Was ist Mobile Device Management“, 04.02.2107, IT-Business, https://www.it-business.de/was-ist-mobile-device-management-a-659769/, letzter Zugriff 21. März 2022.

Updater (2017), „Definition: Was ist „Bring Your Own Device“ (BYOD)?“, 11.09.2017, IT-Business, https://www.it-business.de/was-ist-bring-your-own-device-byod-a-651323/, letzter Zugriff 21. März 2022.

ComputerWeekly.de (2013), Definition MDM“, https://www.computerweekly.com/de/definition/Mobile-Device-Management-MDM, letzter Zugriff 21. März 2022.

Datagroup (o.J), „EU-DSGVO erfordert das Management mobiler Endgeräte“, https://www.datagroup.de/news/eu-dsgvo-erfordert-das-management-mobiler-endgeraete/, letzter Zugriff 21. März 2022.

Dr. Datenschutz (2020), „Mobile Device Management – Bedeutung, Vorteile und Risiken“, 14.08.2020, https://www.dr-datenschutz.de/mobile-device-management-bedeutung-vorteile-und-risiken/, letzter Zugriff 21. März 2022.