BYOD: Leitfaden zur Integration privater Geräte ins Unternehmensnetz

Aktuelle Studien, von wem auch immer, ergeben ein eindeutiges Bild: Das private Endgerät, sei es nun ein PC, Laptop, Mobiltelefon oder ein Tablet, wird immer öfter auch für berufliche Zwecke genutzt und bei Bedarf auch in die Firma mitgebracht. Nach Daten von Checkpoint beispielsweise konnten sich in 67 Prozent der befragten Unternehmen aus den USA, Kanada, Großbritannien, Deutschland und Japan die Angestellten via Privatgerät ins Unternehmensnetz einloggen. Etwas andere Ergebnisse hatte eine Studie des Wireless-Spezialisten Aruba, nach der 44 Prozent der befragten europäischen Betriebe ihren Mitarbeitern heute keine drahtlosen Endgeräte zur Verfügung stellen – mit der Folge, so Aruba, dass sie selbst diesen Gerätetyp mitbringen – mit oder ohne Genehmigung.

Das Marktforschungsunternehmen Gartner prognostiziert in einer ebenfalls 2013 veröffentlichten Prognose, dass 2017 nahezu die Hälfte der Unternehmen von ihren Mitarbeitern verlangen werden, am Arbeitsplatz mit dem eigenen Endgerät zu arbeiten. Gartner rät den Unternehmen, Angestellte bei den Betriebskosten, nicht aber bei der Anschaffung der Geräte zu unterstützen. Sonst wäre das Risiko zu groß, dass der Angestellte während der Abschreibungsdauer des dual genutzten Geräts kündigt und damit der Wert für die Firma verloren sei. Ob diese Extremprognose Wirklichkeit wird, scheint gerade in Deutschland angesichts starker Gewerkschaften und des Arbeitsrechts eher zweifelhaft. Doch auch hier werden Privatgeräte mit betrieblicher Nutzung zu Hause oder im Betrieb bald schon nicht mehr wegzudenken sein.

Eine Bitkom-Studie vom April dieses Jahres ergab, dass in Deutschland heute 71 Prozent der Befragten private Geräte für den Job nützen – 31 Prozent Handys, 19 Prozent Smartphones und 35 Prozent Laptops. Jeder Dritte greift inzwischen mobil auf Unternehmensdaten zu – im Zweifel mit dem eigenen Gerät. Würde der Arbeitgeber den Angestellten den Einsatz ihrer privaten Mobilsysteme verbieten, dann wäre das, so eine europaweite Umfrage von VMware, die im Mai des laufenden Jahres publiziert wurde, für rund ein Drittel ein Kündigungsgrund. Denn, so 67 Prozent der befragten deutschen Büroangestellten, das eigene Unternehmen sei im Zweifel nicht fähig, die entsprechenden mobilen Produktivitätstools bereitzustellen. Gerade in KMUs, so eine Studie von Citrix, sehen 64 Prozent der Entscheider private mobile Endgeräte als vorteilhaft für die Work-Life-Balance an.

Immer wieder: Sicherheitsrisiken

Die weitaus größten Herausforderungen bei BYOD ranken sich um das Thema Sicherheit. 79 Prozent der von Checkpoint Befragten mussten sich innerhalb des vergangenen Jahres mit Sicherheitszwischenfällen bei mobilen Endgeräten herumschlagen, wobei Android von 49 Prozent der Befragten als die unsicherste Plattform eingestuft wird. Immerhin 66 Prozent sagen, dass achtlose Mitarbeiter das größte Sicherheitsrisiko darstellen. Die Kosten von Sicherheitszwischenfällen sind beträchtlich: Rund 16 Prozent der von Checkpoint Befragten gaben Schäden von mehr als einer halben Million Dollar an, nur 22 konnten den Schaden auf unter 50000 Dollar beschränken.

Immerhin 53 Prozent der Anwender verwahren nach der Checkpoint-Studie sensitive Kundeninformationen auf ihren Mobilgeräten. Gleichzeitig konstatieren alle aktuellen Untersuchungen spürbares Misstrauen, wenn das Unternehmen im Rahmen der BYOD-Verwaltung auch auf private Informationen der Nutzer auf den Geräten zugreift. Viele Nutzer finden es sehr unangenehm, dass der IT-Manager etwa sehen kann, welche privaten Bilder, E-Mail-Adressen oder sonstige Informationen auf dem Gerät gespeichert sind.

Hier helfen nur strikte Regeln. So teilen beispielsweise nach Ergebnissen der Aruba-Studie fünfzehn Prozent der Mitarbeiter, die Privatgeräte im Betrieb nutzen, dies dem Arbeitgeber nicht einmal mit. Demzufolge hat das Unternehmen keinerlei Kontrolle über die Anwendung der Systeme, und das darf nicht sein. Laut Checkpoint verwalten nur in 37 Prozent der Fälle IT-Manager die Unternehmensdaten auf BYOD-Geräten. Wenn sich, wie Daten von Checkpoint aussagen, die Zahl der persönlichen Endgeräte in Unternehmensnetzen in 96 Prozent der befragten Unternehmen stetig erhöht – in 45 Prozent dieser Firmen hat sie sich binnen eines Jahres mindestens verfünffacht dann ist das allerdings auch mit Regeln kaum zu handhaben.

Der verbreitete Einsatz privater Geräte für den Job hat nicht nur Auswirkungen auf die Sicherheit. Auch die Trennung zwischen Beruf und Privatleben, so eine weitere Bitkom-Studie, weicht dadurch auf. Drei Viertel der Berufstätigen sind mittlerweile außerhalb der Arbeitszeiten für ihre Kollegen erreichbar, was arbeitsrechtlichen Regelungsbedarf erzeugt. Kurz: Es gibt viele Felder zu beackern.

Hilfe beim BYOD-Einstieg

Wer einen Einstieg in den Umgang mit BYOD sucht, ist nicht auf teure Berater- oder vielleicht eigennützige Herstellerinformationen angewiesen. Interessenten können für eine erste Information auch auf einen online kostenlos erhältlichen Leitfaden des Branchenverbandes Bitkom zugreifen. Ausführlich behandelt werden in der pdf-Broschüre die rechtlichen Zusammenhänge, handele es sich nun um Datenschutz, Software-Lizenzrecht, steuerliche Behandlung, Arbeitsrecht, Mitbestimmung, Betriebsratsvereinbarungen und Vereinbarungen mit den Lieferanten.

Der zweite Teil wendet sich dann dem praktischen BYOD-Einsatz im Unternehmen zu. Dabei betont Bitkom, dass nicht jedes Gerät zugelassen werden könne. Mindestanforderungen sind Verschlüsselbarkeit des Geräts samt Medien, Trennung privater und Unternehmensdaten, ein Betriebssystem im Originalzustand und die Bereitschaft, das Gerät über das unternehmensinterne MDM (Mobile Device Management) verwalten zu lassen. Mitarbeiter müssen Datenlöschung bei Verlust zustimmen, was für viele eine bittere Pille ist, sie müssen eventuell auch Sicherheitseinschränkungen bei der Nutzung des Geräts hinnehmen und Kontrollen zulassen. Geräte, die das nicht können, sollen laut Bitkom keinen vollständigen Zugriff erhalten.

Bei MDM-Systemen legt Bitkom besonderen Wert auf die Fähigkeiten zur Software- und Zertifikatsverteilung sowie zur zentralen Konfiguration der Endgeräte. Außerdem empfiehlt Bitkom nachdrücklich die Nutzung reputationsbasierender Virenschutztools auf den mobilen Endsystemen. Private und berufliche E-Mail-Konten sollen getrennt werden. Insgesamt sei es nötig, die mobilen Endsysteme komplett in das bereits vorhandene Unternehmens-Sicherheitskonzept einzubinden.

In einem abschließenden Kapitel bringt Bitkom das Beispiel einer BYOD-Einführung für Außendienstler einer Handelsmarke. Eine Kernaussage der Praxisstudie ist, dass BYOD nur dann eingeführt werden kann und sollte, wenn die Mitarbeiter mitziehen und sich auch mit den Einschränkungen, die der Einsatz der Privatgeräte für den Beruf bedeutet, einverstanden erklären.

• Bitkom-Leitfaden zur Brind Your Own Device (BYOD) (PDF)
• Nikolaus Forgó und Christian Hawellek: BRing your OWN devIcE – BROWNIE, Studie über rechtliche Problemfelder bei der Eingliederung privater Endgeräte ins Unternehmensnetz

Nur in 37 Prozent der Fälle verwaltet die Unternehmens-IT die Firmendaten auf einem privat und beruflich genutzten mobilen Endgerät (Bild: Checkpoint)

Bild: Nur in 37 Prozent der Fälle verwaltet die Unternehmens-IT die Firmendaten auf einem privat und beruflich genutzten mobilen Endgerät (Bild: Checkpoint)

Tipp: Was tut sich als Nächstes in der Enterprise-IT? Informieren Sie sich über Intels Ansicht zur Zukunft der Konsumerisierung in Unternehmen am 8. Oktober in München. Details erfahren Sie auf der Website der Veranstaltung.